Download
FeaturesSicherheitPreiseDownloadFür Vibe-Coder
Lokaler Security-CheckOpen Source · MIT

API-Keys finden, Risiken verstehen, sicher launchen.

Env Clinic scannt dein Projekt lokal auf riskante .env-Dateien, geleakte Secrets und fehlende Schutzregeln. Du bekommst klare Fix-Schritte, ohne echte API-Keys hochzuladen.

Lokalen Scan vorbereitenSicherheitsmodell ansehen
Läuft lokal auf deinem GerätEchte Secrets werden redigiertKeine Cloud-Analyse in V1
env-clinic
$ env-clinic scan .
Safety: local only · secrets redacted · network: no
[critical] OpenAI API Key src/config.ts:12
sk-proj-...A9xQ
[critical] Stripe Secret .env:4
Launch Score: 35 / 100 — Do not launch
  • Läuft lokal auf deinem Gerät
  • Echte Secrets werden redigiert
  • Keine Cloud-Analyse in V1
  • Keine Telemetrie
  • Keine LLM/API-Anfragen
  • Für Vibe-Coding-Projekte gemacht

Was ist Env Clinic – und für wen?

Env Clinic ist ein lokaler Sicherheitscheck für API-Keys und .env-Dateien. Du startest ihn mit einem Befehl in deinem Projekt, bekommst eine klare Risiko-Übersicht und konkrete Fix-Schritte – bevor du launchst.

Was es ist

Ein kleines, lokales Kommandozeilen-Tool. Es scannt deine Projektdateien, zeigt riskante Schlüssel redigiert an und erklärt, was zu tun ist. Keine Cloud, kein Account.

Für wen

Für Vibe-Coder, Solo-Gründer und kleine Teams, die schnell bauen und sicher launchen wollen – auch ohne Security-Hintergrund.

Warum jetzt

KI-Tools wie Claude und Codex erzeugen Code in Minuten. Genauso schnell verstreuen sich Secrets. Ein kurzer Check vor dem Launch erspart teure Leaks.

Deine API-Keys liegen überall verstreut

Beim schnellen Bauen landen Secrets schnell an Orten, an die sie nicht gehören. Das ist normal – und genau das prüft Env Clinic für dich. Klick auf ein Risiko, um zu verstehen, was passiert und wie du es löst.

API-Key direkt im Code

Ein API-Key steht direkt im Code, statt in einer Environment-Variable.

.env aus Versehen in Git

Die .env-Datei wurde aus Versehen zu Git hinzugefügt.

Key in Chat oder Screenshot

Ein Key wurde in einen Chat, ein Ticket oder einen Screenshot kopiert.

Echter Key im README

Im README steht noch ein echter Key aus dem schnellen Testen.

service_role Key im Frontend

Ein Supabase service_role Key liegt im Frontend, obwohl er nur auf den Server gehört.

Überblick über Keys verloren

Niemand weiss mehr, welcher Key wo verwendet wird.

So funktioniert Env Clinic

  1. 1

    Projekt lokal scannen

    Du startest Env Clinic in deinem Projektordner. Alles passiert auf deinem Gerät.

    env-clinic
    $ env-clinic scan .
    Scanning 42 files · local only · network: no
  2. 2

    Secrets redigiert anzeigen

    Env Clinic zeigt gefundene Keys nur gekürzt an, zum Beispiel sk-proj-...9xyz. Der volle Wert erscheint nie.

    env-clinic
    [critical] OpenAI API Key src/config.ts:12
    Value: sk-proj-…A9xQ (redacted)
  3. 3

    Risiko verstehen

    Eine einfache Ampel zeigt dir, was harmlos ist und was sofort gefixt werden muss.

    env-clinic
    critical 1 high 1 medium 1 low 0
    Launch Score: 35 / 100 — Do not launch
  4. 4

    Fix-Schritte ausführen

    Zu jedem Fund bekommst du eine klare Anleitung: was tun, ob rotieren, wohin der Key gehört.

    env-clinic
    Fix: remove the key, rotate it at the provider,
    store it as a server-side env var · Rotate: yes
  5. 5

    Erneut scannen

    Du scannst noch einmal und siehst deinen Launch Score steigen.

    env-clinic
    $ env-clinic scan .
    Launch Score: 100 / 100 — Good

Was Env Clinic kann

Local Secret Scan

Findet API-Keys und Secrets in deinen Projektdateien - komplett lokal.

Mehr erfahren

.env Safety Check

Prüft deine .env-Dateien auf riskante Inhalte und Verwechslungen.

Mehr erfahren

.gitignore Check

Sagt dir, ob deine .env-Dateien wirklich vor Git geschützt sind, und liefert die fehlenden Zeilen.

Mehr erfahren

Git History Scan

Sucht auf Wunsch auch in der lokalen Git-Historie nach alten Leaks.

Mehr erfahren

Safe .env.example

Erstellt eine saubere .env.example - nur mit Variablennamen, ohne echte Werte.

Mehr erfahren

Launch Score

Ein Wert von 0 bis 100 zeigt dir auf einen Blick, ob du bereit für den Launch bist.

Mehr erfahren

Beginner Fix Instructions

Verständliche Erklärungen statt kryptischer Security-Sprache.

Mehr erfahren

HTML/JSON Report

Lokale Reports zum Anschauen oder Weiterverarbeiten - ohne externe Inhalte.

Mehr erfahren

Dein Sicherheitsversprechen

Env Clinic ist so gebaut, dass deine echten Secrets das Gerät nie verlassen.

No Secret Upload

Echte Secrets werden niemals hochgeladen. Der Scan läuft nur bei dir lokal.

No Telemetry

Keine Tracker, keine Analytics, keine versteckten Statistiken.

No External Assets

Die Reports laden keine externen Schriften, Bilder oder Skripte.

No LLM Calls

Env Clinic schickt deinen Code an keine KI und an keine externe API.

Canary Tests

Automatische Tests prüfen, dass kein echter Secret-Wert in Reports landet.

Local Reports

Alle Reports liegen lokal in deinem Projekt. Du behältst die volle Kontrolle.

Open Source

Vertrauen durch Transparenz

Der Kern von Env Clinic ist quelloffen. Lies jede Zeile selbst nach und überzeuge dich: keine versteckten Netzwerkaufrufe, keine Telemetrie, nichts verlässt dein Gerät.

Quellcode auf GitHub ansehen
  • Jede Zeile prüfbar
  • Keine Netzwerkaufrufe im Code
  • MIT-Lizenz – frei nutzbar

Prüfbares Vertrauen

Env Clinic setzt auf prüfbares Vertrauen: Der Scanner läuft lokal, echte Secrets werden redigiert und der offene Core kann geprüft werden. Releases sollen mit Checksummen und Build-Nachweisen veröffentlicht werden.

  • Lokaler Scan
  • Kein Secret-Upload
  • Offener Scanner-Core
  • Redigierte Reports
  • Canary-Tests
  • SHA256-Checksummen
  • Build-Attestations (geplant)
  • npm Provenance (geplant)
  • Signaturen später optional
Quellcode prüfen

Preise

Env Clinic startet kostenlos und lokal. Erweiterte Funktionen kommen später.

Free Local

Kostenlos

Der vollständige lokale Scanner.

  • Local Secret Scan
  • .env & .gitignore Check
  • Launch Score
  • HTML/JSON Report
Download
★

Pro Reports

Später

Zusätzliche Report-Funktionen für Teams und wiederkehrende Checks.

  • Erweiterte Reports
  • Verlauf über Zeit
  • Mehr Provider-Regeln
Download

Team / Cloud

Warteliste

Eine spätere optionale Cloud-Version - immer ohne echte Secrets.

  • Team-Übersicht
  • Nur redigierte Daten
  • Früher Zugang über Warteliste
Download

Env Clinic nutzen, wie es zu dir passt.

Starte mit der Download-App, nutze die CLI oder prüfe den offenen Core auf GitHub. Der Grundsatz bleibt gleich: Echte Secrets werden nicht hochgeladen.

Download-App für Beginner

Lade die Version für dein System, starte den lokalen Scan und erhalte einen verständlichen Report – ohne API-Keys hochzuladen.

Zum Download

CLI für Entwickler

Scanne dein Projekt direkt im Terminal – ohne Installation: npx @panart/env-clinic scan . Der offene Core liegt auf GitHub.

Auf GitHub

GitHub Releases in Vorbereitung

Geprüfte Artefakte und Checksummen, sobald Releases verfügbar sind.

Releases ansehen

Offener Scanner-Core

Prüfe Scanner, Redaction-Logik und das Sicherheitsmodell direkt im Repository.

Quellcode ansehen

Env Clinic herunterladen

Lade die passende Version für dein System. Kein Node.js nötig.

So startest du es: Env Clinic ist ein Terminal-Tool. Ein Doppelklick zeigt nur kurz die Hilfe und schliesst sich sofort wieder. Öffne ein Terminal (PowerShell), entpacke die Datei, wechsle in deinen Projektordner und führe aus:

env-clinic scan .

macOS/Linux: nach dem Entpacken ausführbar machen mit chmod +x env-clinic. Die Builds sind noch nicht signiert – daher die Sicherheitsmeldung beim ersten Start.

Häufige Fragen

Werden meine API-Keys irgendwohin gesendet?
Nein. Env Clinic läuft komplett lokal, macht keine Netzwerkaufrufe und zeigt nur redigierte Werte. Du kannst das selbst prüfen: env-clinic scan --offline-proof.
Was bedeutet rotieren?
Rotieren heisst: den alten Key beim Anbieter löschen und einen neuen erstellen. Den Wert nur im Code zu ändern reicht nicht - der alte Key funktioniert sonst weiter.
Es hat einen Beispielwert markiert. Ist das schlimm?
Env Clinic versucht, offensichtliche Platzhalter zu ignorieren. Wenn ein echt aussehender Beispielwert durchrutscht, benenne ihn klar als Platzhalter, zum Beispiel your_api_key_here.
Warum ist ein Supabase service_role Key immer kritisch?
Weil er Sicherheitsregeln umgeht und vollen Zugriff auf die Datenbank gibt. Er gehört nur in eine sichere Server-Umgebung, nie ins Frontend oder README.
Brauche ich Programmierkenntnisse?
Du musst nur einen Befehl im Projektordner ausführen. Die Erklärungen sind für Anfänger geschrieben.
Ersetzt das einen Security-Audit?
Nein. Env Clinic ist ein hilfreicher erster Check vor dem Launch, aber kein Ersatz für eine professionelle Sicherheitsprüfung.

Bereit, dein API-Key-Chaos zu beheben?

Bring deine Secrets in Ordnung, bevor du launchst. Lokal, redigiert und ohne Upload.

Lokalen Scan vorbereiten