Пароли. API-ключи. Токены.
И почти всегда это происходит по одной причине, разработчик просто не заметил.
Есть бесплатный инструмент, который ловит такие вещи ДО релиза.
Называется Trivy.
Одна команда и он проверяет весь твой стек:
контейнеры, код, Kubernetes, cloud - всё сразу.
• Без платных тарифов
• Без продажников
• Без “enterprise only”
Просто запускаешь и получаешь отчёт.
Что он находит:
→ уязвимости во всех зависимостях и пакетах
→ пароли, API-ключи и секреты в коде
→ ошибки конфигурации в cloud и контейнерах
→ проблемы с лицензиями
→ полный список всего, что ты деплоишь
brew install trivy
trivy image your-app:latest
Две строки и у тебя полный security-аудит.
https://github.com/aquasecurity/trivy