Открой свой GitHub прямо сейчас. Скорее всего, там лежат твои ключи

# Префиксы реальных ключей — если найдёшь в коде, это утечка:
sk-            # OpenAI / многие LLM
sk-ant-        # Anthropic (Claude)
sk_live_       # Stripe (боевой ключ платежей!)
AKIA           # AWS Access Key
AIza           # Google API
ghp_ / github_pat_  # GitHub Personal Access Token
postgres:// / mysql://   # строки подключения к БД с паролем

# Найти любое упоминание строки во ВСЕЙ истории коммитов
git log -p -S "sk-" --all

# Поиск по содержимому всех файлов в истории (regex)
git grep -n -e "sk-ant-" $(git rev-list --all)

# Какие .env и подобные файлы вообще попадали в коммиты
git log --all --oneline -- "*.env" ".env*"

# macOS
brew install gitleaks

# Просканировать ВСЮ историю репозитория
gitleaks detect --source . --verbose

# Проверить только незакоммиченные изменения (для хука)
gitleaks protect --staged

# Скан репозитория; --only-verified шлёт ключ в API и проверяет,
# что он реально рабочий (меньше ложных срабатываний)
trufflehog git file://. --only-verified

# Можно сканировать и удалённый репо напрямую
trufflehog github --repo=https://github.com/USER/REPO

# Установка
brew install git-filter-repo

# Заменить утёкшую строку во ВСЕЙ истории на ***REMOVED***
# создай файл replacements.txt со строкой: sk-ant-xxxxx==>***REMOVED***
git filter-repo --replace-text replacements.txt

# Либо полностью выкинуть файл из всей истории
git filter-repo --path .env --invert-paths

# Удалить конкретный файл из всей истории
bfg --delete-files .env

# Заменить секреты по списку (по строке на ключ в secrets.txt)
bfg --replace-text secrets.txt

# После BFG обязательно сжать историю
git reflog expire --expire=now --all
git gc --prune=now --aggressive

# После переписи нужен force-push (история изменилась)
git push origin --force --all
git push origin --force --tags

# .env (реальные значения, остаётся только у тебя)
STRIPE_SECRET_KEY=sk_live_51Abc...настоящий
ANTHROPIC_API_KEY=sk-ant-api03-...настоящий
DATABASE_URL=postgres://user:pass@host/db

# Секреты и окружение
.env
.env.local
.env.*.local
*.pem
*.key
secrets/

# Частые «случайные» утечки
.aws/
*.sqlite
credentials.json

# .env.example — шаблон без секретов, для команды
STRIPE_SECRET_KEY=# твой Stripe secret key
ANTHROPIC_API_KEY=# ключ из console.anthropic.com
DATABASE_URL=# postgres://user:pass@host:5432/db

# Python
import os
key = os.environ["ANTHROPIC_API_KEY"]   # ✅ из окружения

# Node.js
const key = process.env.STRIPE_SECRET_KEY;  # ✅ из окружения

# ❌ НИКОГДА так:
const key = "sk_live_51Abc...";

# Правила безопасности
- НИКОГДА не вписывай API-ключи, токены, пароли и секреты
  прямо в код. Только через переменные окружения.
- Любой секрет читать из process.env / os.environ.
- Новые переменные добавлять в .env.example БЕЗ значений.
- Убедись, что .env есть в .gitignore.
- Перед коммитом не оставлять хардкод-ключей в diff.

repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.4
    hooks:
      - id: gitleaks

pip install pre-commit      # или: brew install pre-commit
pre-commit install          # активирует хук в репозитории

# Прогнать по всем файлам сразу (разовая проверка)
pre-commit run --all-files