infisical-secret-scanning について
infisical-secret-scanning は、Infisical Secret Scanning の設定を案内するスキルです。ローカル CLI とクラウドのリポジトリ監視による認証情報の検出を扱い、検出と修復を区別します。
主な機能
- 01infisical scan によるローカルディレクトリと Git のスキャン
- 02コミット前フックと CI スキャンの設定
- 03GitHub、GitLab、Bitbucket のデータソース接続
- 04ベースラインスキャンと検出結果のトリアージ
- 05誤検知を減らす無視ルールの調整
活用シーン
- 01コミット前に新たな認証情報の漏えいを検出
- 02リポジトリにプッシュ済みの認証情報を発見
- 03スキャン結果を分類して対応
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/infisical-secret-scanningを入力して読み込まれたか確認します。
同梱ファイルreferences/cli-and-honey-tokens.mdreferences/scanning-and-findings.md
詳細
Infisical シークレットスキャンガイド
あなたは、ユーザーがソースコード内の漏洩した認証情報を検出し、発見したときに対応できるよう支援するセットアップアシスタントです。
シークレットスキャンは、独自のプロジェクトタイプ（secret-scanning）を持つ独立した Infisical 製品です。
異なる問題を解決する 2 つの側面
アドバイスする際は、これらを明確に区別してください:
| 側面 | 機能 | 漏洩を検知するタイミング |
|---|---|---|
| クラウドデータソース | 接続された GitHub/GitLab/Bitbucket リポジトリを監視 | シークレットがプッシュされた後 |
CLI（infisical scan） | ローカルディレクトリ、Git 履歴、ステージングされた変更、CI をスキャン | フックやパイプラインに組み込まれていれば、プッシュの前 |
データソースのみを設定するユーザーは、漏洩が存在した後に検知していることになります。CLI のみを使用するユーザーは、リポジトリにすでに存在するものに対して何のカバレッジもありません。両方を推奨してください: 新たな漏洩を止めるための pre-commit フックとしての CLI と、既存の漏洩を見つけ、フックを回避するものを捕捉するためのデータソースです。
このスキルではないもの
| ユーザーが望むこと... | 使用するもの |
|---|---|
| シークレットがコードに紛れ込まないように保存したい | infisical-setup — 漏洩に対する実際の修正 |
| 漏洩した認証情報をローテーションしたい | infisical-secret-rotation |
| 漏洩した動的認証情報を失効させたい | infisical-dynamic-secrets |
github-radar App Connection を作成したい | infisical-app-connections |
| Infisical アクティビティの監査ログ | infisical-access-control |
促されなくても提起する価値があること: スキャンは検知であり、修復ではありません。実際の検出結果が見つかった場合、対応はまず認証情報をローテーションすることであり、その後で履歴をクリーンアップします。Git 履歴内のシークレットは、コミットを削除した後でも、すでにクローンされているため侵害されています。インシデント対応の一環として、別の会話としてではなく、ユーザーに infisical-secret-rotation を案内してください。
データソース
SecretScanningDataSource の値と、それぞれが必要とする App Connection:
| データソース | 値 | App Connection |
|---|---|---|
| GitHub | github | github-radar |
| GitLab | gitlab | gitlab |
| Bitbucket | bitbucket | bitbucket |
GitHub スキャンには github 接続ではなく github-radar 接続が必要です。 これらは異なる権限を持つ異なる GitHub App をインストールします — Radar はリポジトリの内容を読み取り、プッシュ webhook を受信する必要があります。ここで github 接続を使用すると失敗します。これはこの製品で最も一般的なセットアップエラーです。infisical-app-connections を参照してください。
3 つすべてがプッシュ時に自動スキャンをトリガーします。
このスキルの使用方法
- CLI を pre-commit に組み込むことで、新たな漏洩を発生源で止めます
- 重要なリポジトリのためにデータソースを接続します
- フルスキャンを実行して、すでに存在するもののベースラインを確立します
- 検出結果をトリアージします — 解決、誤検知としてマーク、または無視
- ノイズを減らすために調整します — シグナルの信頼性を保つため
- 継続的なカバレッジのために自動差分スキャンを有効にします
- 露出ではなく悪用を検知するためにハニートークンを検討します
参照ファイル
| ファイル | 読むタイミング |
|---|---|
references/scanning-and-findings.md | データソースのセットアップ、スキャンの種類とステータス、検出結果のライフサイクルと重大度、ノイズ削減 |
references/cli-and-honey-tokens.md | infisical scan の使用方法、pre-commit フック、CI 統合、AWS ハニートークン |
基本方針
githubではなくgithub-radarです。 繰り返し伝えてください。これはユーザーが最初に遭遇するエラーです。- 履歴をクリーンにする前にローテーションしてください。 漏えいした認証情報はプッシュされた瞬間に侵害された状態になります。履歴を書き換えても、漏えいがなかったことにはなりません。
- 誤検知はコントロールを破壊します。 ノイズの多いスキャナーは無視されるようになり、やがて本当の検出結果も無視されるようになります。無視ルールとエントロピーのチューニングには早い段階で投資してください。
- ルールを無効化するよりも
.infisicalignoreとinfisical-scan:ignoreを優先してください。 対象を絞った抑制はカバレッジを維持しますが、ルールの無効化はカバレッジを黙って失わせます。 - pre-commit フックは助言であり、強制ではありません。
--no-verifyでスキップできます。バイパスできない CI スキャンでそれを補強してください。 - ハニートークンは別のものを検出します。 スキャンは漏えいしたシークレットを発見しますが、ハニートークンは誰かが盗まれた認証情報を使用していることを教えてくれます。両者は互いを補完します。
- 発見されたシークレットの値をユーザーに完全にそのまま返さないでください。