Trestle

ソースコード向けのローカルシークレットスキャナーです。Trestle は、API キー、アクセストークン、 パスワード、秘密鍵、証明書を誤ってコミットする前に検出し、 マシンの外部に持ち出されないようにします。

これは Community エディションです。Apache-2.0 のオープンソースで、 trestlescan.com で配布されているバージョンのミラーです。

Trestle の機能

• 検出。 実際のサービス（OpenAI、 Anthropic、Stripe、AWS、GitHub、Google、Slack、Sentry など）で使われる数百種類の認証情報パターンに加え、 エントロピー、変数名、周辺のコードから見つけ出す未知のキーも検出します。
• コードを認識。 Trestle は単純な正規表現を実行するのではなくファイルを解析するため、 環境変数とビルド引数、ヘッダー、パラメーター、ソース内の定数を区別できます。
• あらゆる作業環境で実行。 コマンドラインスキャナー、ファイルウォッチャー、 pre-commit フック、LSP 対応エディター（Neovim、Helix、Zed、 JetBrains）向け言語サーバー、AI アシスタント（Claude Code、Cursor、Copilot、 Codex）向け MCP サーバー、ネイティブの VS Code 拡張機能を提供します。
• ローカルのみ。 マシン上だけで実行されます。ネットワーク通信、テレメトリー、 アカウント、登録は不要です。
• 静的バイナリ 1 つ。 ランタイムのインストールは不要で、マルチスレッドに対応し、 .gitignore と独自のスキップルールを尊重します。

ソースからビルドする

必要なのは、最近の安定版 Rust ツールチェーンのみです。

cargo build --release

これにより 2 つのバイナリがビルドされます。ネットワークリクエストを行わない trestle と、 検出したシークレットが現在も有効か確認できる trestle-net です。

クイックスタート

任意のプロジェクトディレクトリで実行します。

trestle install  # adds a pre-commit hook and AI instructions
trestle scan     # scans the current directory

その他のコマンド：

• trestle watch は、ファイルの変更に合わせてスキャンを続けます。
• trestle lsp は言語サーバーを起動します。
• trestle mcp は MCP サーバーを起動します。
• trestle uninstall は、プロジェクトから連携機能を削除します。

シークレットが有効かどうかを確認する

デフォルトの trestle バイナリはネットワークリクエストを行いません。別途用意されている trestle-net バイナリには、検出した各シークレットのプロバイダーに接続して、 認証情報が現在も有効か確認するオプションのチェック機能が追加されています。

trestle-net scan --validate

各検出結果には (active)、(inactive)、または (could not verify) のラベルが付きます。このチェックは trestle-net でのみ実行されるため、trestle バイナリは 完全にオフラインのままです。

詳しいドキュメントは trestlescan.com/documentation をご覧ください。

GitHub Action

公式の GitHub Action を使って、プッシュとプルリクエストのたびにスキャンできます。

name: Secret scan

on:
  push:
  pull_request:

jobs:
  trestle:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: toro-guapo/trestle-action@v1

入力、出力、GitHub Security タブへの SARIF アップロード、対応ランナーについては toro-guapo/trestle-action をご覧ください。

Community と Pro

Trestle はオープンコアです。

• Community（このリポジトリ）は検出を行います。各検出結果について、場所と検出ルールを報告します。Apache-2.0 ライセンスです。
• Pro は修正ガイダンスを追加します。各検出結果について、ソースからシークレットを削除する手順、ローカルの .env に残す内容、AWS、GitHub Actions、Vercel、Netlify、Kubernetes、 Doppler などのプラットフォームごとのローテーションガイドを提供します。商用ライセンスで配布されます。

Pro は trestlescan.com でご利用いただけます。

このリポジトリについて

これは読み取り専用のミラーで、Community のリリースごとに更新されます。開発は プライベートリポジトリで行われます。

GitHub での Issue とディスカッションを歓迎します。このミラーではプルリクエストを受け付けていません。 修正案やアイデアがある場合は、Issue を作成してください。

ライセンス

Apache License 2.0。詳しくは LICENSE をご覧ください。