striker
01089d1b1a
All checks were successful
security / security (push) Successful in 3m6s
- security.yml: Hadolint + GitLeaks (для Next.js sag24 — также Semgrep + npm audit) - origin URL: HTTPS+PAT → SSH (убран plain-text token из git config) - all remote: dual-push в Gitea + GitHub Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>
50 lines
2.2 KiB
TOML
50 lines
2.2 KiB
TOML
# GitLeaks config для сателлитных сайтов hhivp.
|
||
# Extends default rules and adds allowlist for known false-positives.
|
||
# https://github.com/gitleaks/gitleaks#configuration
|
||
|
||
[extend]
|
||
useDefault = true
|
||
|
||
[allowlist]
|
||
description = "Allowlist for IndexNow public keys + legacy WP plugin code"
|
||
|
||
# Пути, которые целиком игнорируем
|
||
paths = [
|
||
# IndexNow validation file (32-hex .txt в корне или в public/).
|
||
# Это публичный ключ, по дизайну отдаётся всем — НЕ секрет.
|
||
'''public/[a-f0-9]{32}\.txt''',
|
||
'''^[a-f0-9]{32}\.txt$''',
|
||
|
||
# IndexNow ping-скрипты содержат `const KEY = '<32hex>'` —
|
||
# тот же публичный ключ, не секрет (для авторизации перед Яндекс/Bing API).
|
||
'''scripts/indexnow\.(js|mjs|sh|ts)$''',
|
||
'''scripts/indexnow-ping\.sh$''',
|
||
|
||
# Legacy WordPress plugin code (akismet, jetpack, wpforms-lite, wp-cache).
|
||
# Все "ключи" внутри — placeholder/template/internal параметры,
|
||
# не настоящие секреты. Импортировано из старого WP-сайта как static.
|
||
'''wp-content/.*''',
|
||
|
||
# Минифицированные ассеты — часто содержат hash'и/токены, не секреты.
|
||
'''.*\.min\.(js|css)$''',
|
||
'''dist/.*''',
|
||
'''build/.*''',
|
||
|
||
# Защита на случай возврата CMS exports / production logs в репо
|
||
# (см. инцидент 2026-05-24 с Ghost ghost_private_key + members_private_key).
|
||
# Сами файлы УЖЕ удалены из history через git filter-repo, allowlist —
|
||
# дополнительная защита для будущих commit'ов.
|
||
'''content/logs/.*''',
|
||
'''content/data/.*''',
|
||
'''.*\.production\.log(\.[0-9]+)?$''',
|
||
'''.*\.ghost\..*\.json$''',
|
||
]
|
||
|
||
# Конкретные паттерны, которые false-positive
|
||
regexes = [
|
||
# Наш scripts/indexnow.js: const KEY = '<32-hex>' — IndexNow public key.
|
||
'''const\s+KEY\s*=\s*['"][a-f0-9]{32}['"]''',
|
||
# Аналог для других форм объявления того же ключа.
|
||
'''KEY\s*[:=]\s*['"][a-f0-9]{32}['"]''',
|
||
]
|