API Anahtarı ve Gizli Bilgi Tarayıcı
Günlükleri, kodu veya bir .env dosyasını ChatGPT’ye yapıştırmadan önce tarayın: sk-proj-… (OpenAI), AKIA… (AWS), ghp_… (GitHub), AIza… (Google), xoxb-… (Slack), sk_live_… (Stripe) gibi anahtarlar, JWT’ler, PEM özel anahtarları ve DB_PASSWORD=… değerleri işaretlenir ve [REDACTED_…] ile değiştirilir. 24 karakter ve üzeri, karakter başına en az 4,0 bit Shannon entropisi olan rastgele dizeler de işaretlenir. Hiçbir şey tarayıcınızdan çıkmaz.
Nasıl kullanılır
- Bir yapay zekâ sohbetine göndermek üzere olduğunuz günlüğü, kodu, yapılandırma dosyasını veya istemi yapıştırın. Tarama siz yazarken başlar.
- İşaretli yerlere ve satır numaralı listeye bakın. Kırmızı, bilinen anahtar biçimleridir; mavi, gizli bilgi olabilecek rastgele dizelerdir.
- Maskelenmiş metni kopyalayın. Hangi anahtar olduğu görünsün isterseniz "İlk 4 karakteri bırak" seçeneğini açın, örneğin ghp_****.
Nasıl hesaplanır
Bilinen sağlayıcıların anahtarları sabit önek ve uzunluklarından tanınır: OpenAI sk- ve sk-proj-, Anthropic sk-ant-, AWS erişim anahtarları (AKIA veya ASIA ardından 16 büyük harf ya da rakam), GitHub ghp_, gho_ ve github_pat_, Google AIza ardından 35 karakter, Slack xoxb- ve xoxp-, Stripe sk_live_, pk_live_ ve rk_, JWT’ler (eyJ ile başlayan üç base64url parçası) ve -----BEGIN … PRIVATE KEY----- blokları.
Değerler adlarından da yakalanır. .env ve yapılandırma dosyalarında adında SECRET, TOKEN, PASSWORD, API_KEY, ACCESS_KEY veya PRIVATE_KEY geçen değişkenlerin değeri, aws_secret_access_key sonrasındaki 40 karakterlik AWS gizli anahtarı ve postgres://kullanici:parola@host gibi bağlantı dizelerindeki parola maskelenir. changeme, <your-key>, ${VAR} ve **** gibi yer tutucular atlanır.
Bilinen bir biçimi olmayan dizeler Shannon entropisiyle puanlanır: H = -Σ p(c) log2 p(c). Büyük harf, küçük harf ve rakam karıştıran, 24 karakter veya daha uzun ve karakter başına en az 4,0 bit puan alan bir dize işaretlenir. Rastgele 32 karakterlik bir anahtar genellikle 4,5 ile 5 arasındadır. Commit karmaları ve UUID’ler gibi yalnızca onaltılık dizeler atlanır.
İki kural aynı metne denk gelirse daha özgül olan kazanır: OPENAI_API_KEY=… içindeki anahtar genel bir .env değeri olarak değil, OpenAI anahtarı olarak gösterilir. Her şey bu sayfada çalışır. Metin yüklenmez, kaydedilmez ve sayfa adresine yazılmaz.
Tanınan biçimler
| Sağlayıcı | Görünüm |
|---|---|
| OpenAI | sk-… , sk-proj-… |
| Anthropic | sk-ant-… |
| AWS | AKIA… (20 karakter) + 40 karakterlik gizli anahtar |
| GitHub | ghp_… , github_pat_… |
| Google API | AIza… (39 karakter) |
| Slack | xoxb-… , xoxp-… , hooks.slack.com adresi |
| Stripe | sk_live_… , pk_live_… , rk_… |
| JWT | eyJ….eyJ….… |
| Özel anahtar | -----BEGIN … PRIVATE KEY----- |
| Bağlantı dizesi | scheme://user:password@host |
| .env değeri | SECRET/TOKEN/PASSWORD_İÇEREN_AD=… |
Sık sorulan sorular
Metnim bir yere gönderiliyor mu?
Hayır. Tarama ve maskeleme tarayıcınızda yapılır. Metin yüklenmez, yerel depolamaya yazılmaz ve URL’ye eklenmez, bu yüzden yanlışlıkla paylaşılacak bir şey yoktur. Sayfadan ayrıldığınızda kutu boşaltılır.
Bir anahtarı ChatGPT’ye zaten yapıştırdım. Ne yapmalıyım?
Anahtarı değiştirin. Sohbeti silmiş olsanız bile anahtarı sağlayıcının panelinden iptal edip yenisini oluşturun. Ayarlarınıza göre sohbetler kötüye kullanım incelemesi için saklanabilir ya da eğitimde kullanılabilir. Bir kez açığa çıkan anahtar sızmış sayılmalıdır.
Sıradan bir dize neden gizli bilgi olarak işaretlendi?
Entropi kontrolü uzun ve rastgele görünen dizeleri işaretler; derleme kimlikleri, base64 görseller, imzalı URL’ler gibi zararsız değerler de böyle görünebilir. Mavi işaretler tahmindir. Yalnızca bilinen biçimleri ve adlandırılmış değerleri görmek için "Rastgele dizeleri işaretle" seçeneğini kapatın.
Neleri kaçırabilir?
Cümle içinde yazılmış kısa veya uydurma parolaları, adı olmayan ve rastgeleliği düşük gizli bilgileri, sabit öneki olmayan sağlayıcıların anahtarlarını ve birden çok satıra bölünmüş değerleri. Göndermeden önce sonucu okuyun. Tarama riski azaltır, metnin temiz olduğunu kanıtlamaz.
Örnek anahtarlar gerçek mi?
Hayır. Örnekte AWS belgelerindeki örnek anahtarlar, jwt.io’nun herkese açık örnek tokenı ve uydurma dizeler kullanılır. Biçimleri doğrudur ama hiçbir şeyi açmazlar.