Сканирует git-историю, файловую систему, Docker-образы и облачные хранилища на предмет утечки секретов и учётных данных. Отличие именно в верификации найденного секрета через реальный API. Метаданные: AGPL-3.0. Язык: Go. Версия: v3.95.x. 800+ детекторов с верификацией

# Сканирование репозитория (подтверждённые секреты)
trufflehog git file://. --only-verified

# Сканировать историю коммитов
trufflehog git https://github.com/org/repo

# Сканировать Docker-образ
trufflehog docker --image myapp:latest

COPY .env /app/.env
COPY private_key.pem /app/
COPY virtu-ssh /app/

detectors:
  - name: InternalServiceToken
    keywords:
      - svc_key
      - internal_token
    regex:
      token: 'svc_[A-Za-z0-9]{32}'
    verify:
      - endpoint: https://internal.api/verify
        unsafe: false
        headers:
          - "Authorization: Bearer {{.Token}}"

trufflehog:
  image: trufflesecurity/trufflehog:latest
  stage: security
  script:
    - trufflehog git file://. --only-verified --fail --json > trufflehog.json
    - trufflehog docker --image $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA --only-verified --fail
  artifacts:
    paths: [trufflehog.json]
  allow_failure: false  # блокируем pipeline при verified

name: TruffleHog PR Scan

on:
  pull_request:
    branches: [main, develop]

jobs:
  trufflehog:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout
        uses: actions/checkout@v4
        with:
          fetch-depth: 0  # нужна полная история для сравнения base-to-head

      - name: TruffleHog Scan
        uses: trufflesecurity/trufflehog@main
        with:
          path: ./
          base: ${{ github.event.pull_request.base.sha }}
          head: ${{ github.event.pull_request.head.sha }}
          extra_args: --only-verified --fail

• Верификация через API, как подтверждение, что секрет живой
• Docker-сканирование по слоям ловит секреты через COPY/ ENV
• Driftwood: RSA/ EC-ключи проверяются против GitHub-пользователей и TLS-сертификатов — показывает кому ключ принадлежит
• Кастомные детекторы под внутренние токены через config.yaml
• В связке с gitleaks закрывает полный цикл: gitleaks на pre-commit (скорость), trufflehog на PR (точность и верификация)