Scanne deine GitHub- & GitLab-Repos auf Secrets und Code-Schwachstellen.
Die .env, die du um 2 Uhr nachts committet hast, ist genau das, wonach Angreifer greppen. Richte Defenso auf ein Repo, und es findet die Secrets, Schlüssel und offenen Buckets sowie den riskanten Code und die Schwachstellen, aus denen ein Datenleck wird, bevor sie die Produktion erreichen.
- Committete Secrets & Schlüssel
- Offene Storage-Buckets
- Riskanter Code & Schwachstellen
- Verwundbare Abhängigkeiten
Alles, was ein Angreifer nach dem Klonen deines Repos finden würde.
Die Git-Historie ist für immer. Ein einmal committeter Schlüssel überlebt jedes spätere Löschen, lebt in jedem Fork und leakt an dem Tag, an dem das Repo öffentlich wird. Dein Standard-Branch wird so gelesen, wie ein Angreifer es täte, und jeder Fund kommt mit einem Fix, der das Secret rotiert und den Code patcht.
Getrackte .env-Dateien, firebase-adminsdk- und serviceAccountKey-Dateien, API-Schlüssel, Tokens und Datenbank-URLs per Muster erkannt, dazu S3- und Storage-Endpunkte, die als weltweit zugänglich gelesen werden. Beim Review erwischt, nicht nach dem Leak.
Über Secrets hinaus markiert der Scan handgebautes SQL, einen an den Client ausgelieferten Service-Schlüssel, aktiviert gebliebenen Debug-Modus und weitere Muster, aus denen ein Datenleck wird. Genau das, was KI-generierter Code unbemerkt einschleust.
Lockfiles für npm, Composer, pip und mehr werden geparst und gegen die OSV-Datenbank auf bekannte CVEs geprüft, mit Schweregrad und der behobenen Version im Bericht. Funktioniert mit GitHub, GitLab und Bitbucket.
Wonach ein Repo-Scan wirklich sucht.
Ein Repository-Sicherheitsscanner ist nur so gut wie das, was er zu greppen weiß. Defenso liest deinen Standard-Branch so, wie ein Angreifer mit einem Klon es täte, und meldet dann jeden Fund mit einem Fix. Er ist breiter als eine einzelne git-secrets-Musterliste und läuft online, ohne dass etwas installiert werden muss.
Committete Secrets und Schlüssel
GitHub-Secret-Scanning über den gesamten Baum: getrackte .env-Dateien, firebase-adminsdk- und serviceAccountKey-Blobs, Datenbank-URLs und offengelegte API-Schlüssel per Muster erkannt. Ein einmal committeter Schlüssel lebt für immer in der Historie, also erwischen wir ihn beim Review, nicht nach dem Leak.
Offengelegte Config und offene Buckets
Config-Dateien, die Zugangsdaten ausliefern oder auf weltweit lesbare S3- und Storage-Endpunkte zeigen. Genau der offene Bucket, der aus einem Routine-Push eine Datenleck-Schlagzeile macht.
Riskanter Code, SAST-Stil
Leichtgewichtiges SAST über deinen Quellcode: handgebaute SQL-Strings, ein an den Client ausgelieferter Service-Schlüssel, aktiviert gebliebener Debug-Modus und weitere Muster, aus denen still ein Datenleck wird. Genau das, was KI-generierter Code unbemerkt einschleust.
Verwundbare Abhängigkeiten
Lockfiles für npm, Composer, pip und mehr werden geparst und gegen die OSV-Datenbank auf bekannte CVEs geprüft, mit Schweregrad und der behobenen Version im Bericht.
Supply-Chain-Prüfungen
Typosquat-Erkennung bei deinen Abhängigkeitsnamen, dazu ein Review von Dockerfile und CI-Workflows auf geleakte Tokens und ungepinnte, überprivilegierte Schritte.
Ein Fix bei jedem Fund
Jedes Ergebnis wird nach Schweregrad eingestuft und kommt mit der exakten Behebung: diesen Schlüssel rotieren, diese Zeile patchen, diesen Bucket schließen. Keine Triage-Tabelle nötig.
Defenso gegen ein git-secrets-Grep.
Ein lokaler Regex-Durchlauf erwischt die bekannten Schlüsselformate von gestern. Ein Online-Repository-Sicherheitsscanner muss mehr leisten, um committete Secrets tatsächlich aus der Produktion herauszuhalten.
| Fähigkeit | git-secrets-Grep | Defenso |
|---|---|---|
| Muster für committete Secrets | Basis | ✓ |
| Offengelegte .env- und Service-Account-Dateien | × | ✓ |
| Erkennung offener Storage-Buckets | × | ✓ |
| SAST-Prüfungen bei riskantem Code | × | ✓ |
| OSV-CVE-Prüfungen bei Abhängigkeiten | × | ✓ |
| Typosquat-, Dockerfile- und CI-Prüfungen | × | ✓ |
| Öffentliches Repo per URL scannen, ohne Setup | × | ✓ |
| Fix und Schweregrad bei jedem Fund | × | ✓ |
| Geplante Re-Scans auf deinem Branch | × | ✓ |
Wie der Scan abläuft.
Verbinde ein github.com- oder gitlab.com-Repository oder wirf eine öffentliche Repo-URL hinein, und Defenso klont den Standard-Branch und liest ihn von Anfang bis Ende. Secret-Muster, offengelegte Config, offene Buckets, Abhängigkeits-CVEs und Code-Schwachstellen werden in einem Durchlauf geprüft, und der Bericht gruppiert jeden Fund nach Schweregrad mit angehängtem Fix. Der Scanner failt open: Ein Scan, der nicht abgeschlossen werden kann, blockiert niemals deinen Workflow.
Der kostenlose Tarif ist echt und braucht keine Karte. Pro enthält 7 Repo-Scans pro Monat und Max 20, sodass du bei jeder relevanten Änderung neu scannen kannst statt nur einmal beim Launch. Bleibst du lieber in deinem Editor? Der Defenso-MCP-Server stellt ein scan_repo-Tool bereit, das jedes öffentliche Repo direkt aus Claude, Cursor oder Windsurf scannt. Kombiniere ihn mit dem Website-Sicherheitsscanner für das, was live ist, und der Managed WAF für das, was die Produktion erreicht. Alle Details unter Preise.
Häufige Fragen.
Alles, was man vor dem Start fragt. Noch unsicher? Wir sind eine Nachricht entfernt.
Jedes Repository, das du von github.com oder gitlab.com verbindest, sowie jedes öffentliche Repo per URL. Bitbucket wird für verbundene Repos ebenfalls unterstützt. Private Repos nutzen ein Token, das du jederzeit widerrufen kannst.
Committete Secrets und API-Schlüssel, offengelegte .env- und Service-Account-Dateien, offene Storage-Buckets, riskanten Code aus SAST-artigen Prüfungen, verwundbare Abhängigkeiten über OSV-CVE-Daten sowie Typosquat-, Dockerfile- und CI-Probleme.
git-secrets ist ein lokaler Regex-Durchlauf für bekannte Schlüsselformate. Defenso ergänzt Erkennung offengelegter Config und offener Buckets, SAST-Prüfungen deines Codes, OSV-Abhängigkeitsscans, Supply-Chain-Prüfungen und einen eingestuften Fix bei jedem Fund, alles online und ohne Setup.
Der kostenlose Tarif ist echt und braucht keine Karte. Pro enthält 7 Repo-Scans pro Monat und Max 20, genug, um bei jeder relevanten Änderung neu zu scannen statt nur beim Launch.
Ja. Der Defenso-MCP-Server liefert ein scan_repo-Tool, das jedes öffentliche Repository direkt aus Claude Code, Cursor, Windsurf oder VS Code scannt, mit denselben Secret-, Config- und Abhängigkeitsprüfungen.
Nein. Der Scanner failt open. Wenn ein Scan nicht abgeschlossen werden kann, meldet er den Fehler und blockiert niemals deinen Workflow oder dein Deployment.
Finde das Secret, bevor es ein Angreifer tut.
Richte Defenso auf ein Repo und erhalte committete Secrets, offengelegte Config und Code-Schwachstellen in Sekunden zurück. Kostenlos, ohne Karte, ohne Installation.