Secret-Erkennung

So funktioniert es

XAEIO scannt Chat-Nachrichten automatisch, bevor sie gesendet werden, um sensible Daten wie API-Keys, Passwörter und Tokens zu erkennen.

Erkannte Muster

• API-Keys — OpenAI (sk-…), Anthropic (sk-ant-…), Stripe (sk_…), Google, AWS
• Passwörter — Schlüsselwörter wie password, passwort, pw, secret gefolgt von Werten
• Tokens — Bearer-Tokens, JWT-Tokens, Access-Tokens
• Connection-Strings — Datenbank-URLs mit Zugangsdaten
• Private Keys — RSA/SSH-Private-Key-Blöcke

Was bei Erkennung passiert

1. Vor dem Senden erscheint ein Warndialog

2. Die erkannten Secrets werden hervorgehoben

3. Du kannst wählen:

- In .env speichern — das Secret wird zur Umgebungsvariablen, wo es hingehört; die Nachricht geht ohne es raus

- Ignorieren — die Nachricht bleibt ungesendet, du kümmerst dich selbst darum

- Ignorieren & Senden — die Originalnachricht mit dem Secret senden (nicht empfohlen)

Der Dialog maskiert nichts. Die sinnvolle Option ist die erste: Das Secret wird zur Umgebungsvariablen, die der generierte Code lesen kann, und der Chat trägt es nie.

Best Practices

• Nutze den Environment-Tab für API-Keys und Zugangsdaten
• Sag der KI: „Verwende die Umgebungsvariable STRIPE_API_KEY", statt den Key einzufügen
• Unterschiedliche Keys für Dev- und Prod-Umgebungen
• Die KI hardcodet niemals Secrets — sie verwendet immer Referenzen auf Umgebungsvariablen

Umgebungsvariablen

Verwalte Secrets sicher im Environment-Tab:

• getrennte Werte für Dev und Prod
• Variablen werden zur Laufzeit injiziert, nie in den Code committet
• von Integrationen verwaltete Variablen (wie DATABASE_URL) sind schreibgeschützt