Secrets Detection gitleaks/trufflehog 2026（シークレッツディテクション）
Code Secret Detection。gitleaks 8.x (Zricethezav・FOSS Go)・TruffleHog 3.x (Truffle Security)・detect-secrets (Yelp)・GitGuardian (SaaS)・Wiz Code・Snyk Code Secrets・GitHub Secret Scanning (Push Protection 2024 Default)・git-secrets (AWS Labs Maintenance)・secretlint (FOSS Custom Rules)・¥0 OSS-¥¥¥¥¥¥/月・Pre-commit Hook+CI/CD統合・¥0 OSS、2026年GitHub Push Protection Default化。
概要
シークレッツディテクションは、ソースコード内に潜む API キーやパスワード、トークンを検知する自動化ツール群である。2026年現在、gitleaks 8.x（Go）、TruffleHog 3.x（Python）、detect-secrets（Python）、GitGuardian（SaaS）、Wiz Code（SaaS）、Snyk Code Secrets（SaaS）、GitHub Secret Scanning（GitHub 内蔵）、git‑secrets（AWS Labs）および secretlint（Node.js）などが代表的。2025年にリリースされた gitleaks 9 は AI‑ベースのパターンマッチングを導入し、2026年の GitHub Push Protection がデフォルト化されたことで、コードのプッシュ時に自動検知が必須となった。
各ツールは、Pre‑commit Hook と CI/CD パイプラインへの統合を前提としており、OSS と SaaS の両方が存在する。OSS 版は 0 円で利用でき、SaaS 版は月額 0 〜 3,000 円程度。
主な特徴・仕組み
- パターンマッチング：正規表現とハッシュベースの検出で 1,000 以上の既知シークレットをカバー。
- AI‑ベース検出：gitleaks 9 で導入された機械学習モデルは、10,000 以上のサンプルを学習し、未知のパターンも検知。
- Pre‑commit Hook：コミット前に自動実行され、検知されたシークレットはコミットをブロック。
- CI/CD 統合：GitHub Actions、GitLab CI、Jenkins で実行可能。
- レポート生成：JSON、HTML、Markdown 形式で検出結果を出力。
- SaaS 連携：GitGuardian、Wiz Code などは API キーの管理ダッシュボードを提供。
- スケーラビリティ：1,000,000 行以上のコードベースでも 5 秒以内にスキャン完了（TruffleHog 3.x）。
- マルチプラットフォーム：Windows、Linux、macOS でネイティブに動作。
- オープンソースライセンス：MIT、Apache‑2.0、GPL‑3.0 など、商用利用に制限なし。
- 2026年のトレンド：GitHub Push Protection がデフォルト化され、CI パイプラインでの自動検知が必須化。
スペック比較表
| ツール | バージョン | ライセンス | 主な統合 | 主要言語 |
|---|---|---|---|---|
| gitleaks | 8.1.0 | MIT | GitHub Actions, Jenkins | Go |
| TruffleHog | 3.2.0 | Apache‑2.0 | GitLab CI, GitHub Actions | Python |
| detect-secrets | 1.4.0 | Apache‑2.0 | pre‑commit, GitHub Actions | Python |
| GitGuardian | SaaS | Proprietary | GitHub, GitLab, Bitbucket | N/A |
| secretlint | 1.0.0 | MIT | pre‑commit, GitHub Actions | Node.js |
具体例・対応製品
- gitleaks 8.1.0 – 24GB GDDR7 GPU を搭載した RTX 5090 で 10,000 行以上のコードを 3 秒でスキャン。
- TruffleHog 3.2.0 – Ryzen 9 9950X3D で 1,000,000 行のリポジトリを 5 秒で検査。
- GitGuardian SaaS – 450W TDP のサーバーで 24 時間稼働、月額 1,200 円。
自作PCでの選び方・注意点
- CPU：複数コア（≥8コア）でスキャン速度を向上。
- メモリ：32GB 以上推奨。
- ストレージ：NVMe SSD 512GB 以上で高速 I/O。
- GPU：gitleaks の Go ランタイムは CPU 主導だが、AI ベース検出は GPU で高速化できるため RTX 5090 などの高性能 GPU を検討。
- 電源：550W 以上の 80+ Gold 認証が望ましい。
- 冷却：高負荷時に 80℃ 以上に達するため、液体冷却や高性能ファンを装備。
- OS：Linux (Ubuntu 24.04 LTS) が最も互換性が高い。
- ネットワーク：SaaS 版を利用する場合は 100Mbps 以上の安定した接続が必要。
関連用語との違い
| 用語 | 主な違い | 代表的ツール |
|---|---|---|
| Secret Scanning | GitHub 内蔵機能でプッシュ時に自動検知 | GitHub Secret Scanning |
| Static Application Security Testing (SAST) | コード全体を解析し脆弱性を検出 | Snyk Code, Wiz Code |
| Dynamic Application Security Testing (DAST) | 実行時に脆弱性を検出 | Nessus, OWASP ZAP |
| Secret Management | シークレットを安全に保管・ローテーション | HashiCorp Vault, AWS Secrets Manager |
よくある質問(FAQ)
Q1. 既存の CI/CD パイプラインに gitleaks を追加する際、既存のテストに影響はありますか？
A1. gitleaks は軽量であり、通常のユニットテスト実行時間に 1〜2 秒程度の追加時間しかかからない。CI ジョブの並列化を行えばほぼ影響なし。
Q2. SaaS 版と OSS 版の違いは何ですか？
A2. SaaS 版はリアルタイムダッシュボード、通知、チーム管理機能が付属。OSS 版は 0 円で自前で運用でき、カスタムルールを自由に追加可能。
Q3. 2026年に GitHub Push Protection がデフォルト化されたことで、何が変わりますか？
A3. すべてのリポジトリでプッシュ時に自動検知が有効になり、検知されたシークレットはプッシュをブロック。CI パイプラインでの再検証は不要になる。
まとめ
シークレッツディテクションは、ソフトウェア開発における機密情報漏洩リスクを低減する不可欠な要素である。2025年に登場した AI ベースの検出機能と、2026年の GitHub Push Protection のデフォルト化により、開発フローに組み込むことが業界標準となっている。自作PCを構築する際は、CPU・GPU・メモリ・ストレージを十分に確保し、OSS 版を試用してから SaaS 版への移行を検討することで、コストとセキュリティのバランスを最適化できる。