Téléchargement
FonctionsSécuritéPrixTéléchargementPour vibe coders
Contrôle de sécurité localOpen Source · MIT

Trouvez vos clés API, comprenez les risques, lancez en sécurité.

Env Clinic analyse votre projet en local pour détecter les fichiers .env risqués, les secrets divulgués et les règles de protection manquantes. Vous obtenez des étapes de correction claires, sans téléverser de vraies clés API.

Préparer une analyse localeVoir le modèle de sécurité
Fonctionne en local sur votre appareilLes vrais secrets sont masquésAucune analyse cloud en V1
env-clinic
$ env-clinic scan .
Safety: local only · secrets redacted · network: no
[critical] OpenAI API Key src/config.ts:12
sk-proj-...A9xQ
[critical] Stripe Secret .env:4
Launch Score: 35 / 100 — Do not launch
  • Fonctionne en local sur votre appareil
  • Les vrais secrets sont masqués
  • Aucune analyse cloud en V1
  • Aucune télémétrie
  • Aucun appel LLM/API
  • Conçu pour les projets de vibe coding

Qu'est-ce qu'Env Clinic – et pour qui ?

Env Clinic est un contrôle de sécurité local pour les clés API et les fichiers .env. Vous le lancez avec une commande dans votre projet, obtenez un aperçu clair des risques et des étapes de correction concrètes – avant de lancer.

Ce que c'est

Un petit outil local en ligne de commande. Il analyse vos fichiers de projet, affiche les clés risquées masquées et explique quoi faire. Pas de cloud, pas de compte.

Pour qui

Pour les vibe coders, les fondateurs solo et les petites équipes qui construisent vite et veulent lancer en sécurité – même sans bagage en sécurité.

Pourquoi maintenant

Des outils IA comme Claude et Codex produisent du code en quelques minutes. Les secrets se dispersent tout aussi vite. Un contrôle rapide avant le lancement vous évite des fuites coûteuses.

Vos clés API sont éparpillées partout

Quand on construit vite, les secrets se retrouvent vite là où ils ne devraient pas être. C'est normal – et c'est exactement ce qu'Env Clinic vérifie pour vous. Cliquez sur un risque pour comprendre ce qui se passe et comment le corriger.

Clé API directement dans le code

Une clé API se trouve directement dans le code au lieu d'une variable d'environnement.

.env commité dans Git par accident

Le fichier .env a été ajouté à Git par accident.

Clé dans un chat ou une capture

Une clé a été copiée dans un chat, un ticket ou une capture d'écran.

Vraie clé dans le README

Une vraie clé de test traîne encore dans le README.

Clé service_role dans le frontend

Une clé service_role Supabase est dans le frontend, alors qu'elle ne doit rester que sur le serveur.

Perte de vue des clés

Plus personne ne sait quelle clé est utilisée où.

Comment fonctionne Env Clinic

  1. 1

    Analyser votre projet en local

    Vous lancez Env Clinic dans le dossier de votre projet. Tout se passe sur votre appareil.

    env-clinic
    $ env-clinic scan .
    Scanning 42 files · local only · network: no
  2. 2

    Voir les secrets masqués

    Env Clinic n'affiche les clés trouvées que de manière raccourcie, par exemple sk-proj-...9xyz. La valeur complète n'apparaît jamais.

    env-clinic
    [critical] OpenAI API Key src/config.ts:12
    Value: sk-proj-…A9xQ (redacted)
  3. 3

    Comprendre le risque

    Un simple feu tricolore vous montre ce qui est inoffensif et ce qui doit être corrigé immédiatement.

    env-clinic
    critical 1 high 1 medium 1 low 0
    Launch Score: 35 / 100 — Do not launch
  4. 4

    Appliquer les corrections

    Chaque détection vient avec des consignes claires : quoi faire, faut-il faire tourner la clé, et où elle doit être stockée.

    env-clinic
    Fix: remove the key, rotate it at the provider,
    store it as a server-side env var · Rotate: yes
  5. 5

    Analyser à nouveau

    Vous relancez une analyse et regardez votre Launch Score augmenter.

    env-clinic
    $ env-clinic scan .
    Launch Score: 100 / 100 — Good

Ce que fait Env Clinic

Analyse locale des secrets

Trouve les clés API et les secrets dans vos fichiers de projet - entièrement en local.

Mehr erfahren

Vérification .env

Vérifie vos fichiers .env pour détecter les contenus risqués et les confusions.

Mehr erfahren

Vérification .gitignore

Vous dit si vos fichiers .env sont vraiment protégés de Git, et vous donne les lignes manquantes.

Mehr erfahren

Analyse de l'historique Git

Cherche aussi, en option, d'anciennes fuites dans votre historique Git local.

Mehr erfahren

.env.example sécurisé

Crée un fichier .env.example propre - noms de variables uniquement, sans vraies valeurs.

Mehr erfahren

Launch Score

Un score de 0 à 100 montre d'un coup d'œil si vous êtes prêt à lancer.

Mehr erfahren

Instructions pour débutants

Des explications en langage clair plutôt que du jargon de sécurité.

Mehr erfahren

Rapport HTML/JSON

Des rapports locaux à consulter ou à réutiliser - sans aucun contenu externe.

Mehr erfahren

Votre promesse de sécurité

Env Clinic est conçu pour que vos vrais secrets ne quittent jamais votre appareil.

Aucun téléversement de secret

Les vrais secrets ne sont jamais téléversés. L'analyse se fait uniquement en local sur votre machine.

Aucune télémétrie

Aucun tracker, aucune analytique, aucune statistique cachée.

Aucun contenu externe

Les rapports ne chargent aucune police, image ou script externe.

Aucun appel LLM

Env Clinic n'envoie votre code à aucune IA ni à aucune API externe.

Tests canari

Des tests automatisés vérifient qu'aucune vraie valeur de secret ne se retrouve dans un rapport.

Rapports locaux

Tous les rapports restent en local dans votre projet. Vous gardez le contrôle total.

Open source

La confiance par la transparence

Le cœur d'Env Clinic est open source. Lisez chaque ligne vous-même et constatez : aucun appel réseau caché, aucune télémétrie, rien ne quitte votre appareil.

Voir le code sur GitHub
  • Chaque ligne vérifiable
  • Aucun appel réseau dans le code
  • Licence MIT – libre d'utilisation

Confiance vérifiable

Env Clinic mise sur une confiance vérifiable : le scanner tourne en local, les vrais secrets sont masqués et le cœur ouvert peut être examiné. Les releases doivent être publiées avec sommes de contrôle et preuves de build.

  • Analyse locale
  • Aucun téléversement de secret
  • Cœur ouvert du scanner
  • Rapports masqués
  • Tests canari
  • Sommes SHA-256
  • Attestations de build (prévu)
  • Provenance npm (prévu)
  • Signatures optionnelles plus tard
Examiner le code

Tarifs

Env Clinic démarre gratuit et local. Les fonctions avancées arrivent plus tard.

Free Local

Gratuit

Le scanner local complet.

  • Analyse locale des secrets
  • Vérification .env et .gitignore
  • Launch Score
  • Rapport HTML/JSON
Téléchargement
★

Pro Reports

Plus tard

Des fonctions de rapport supplémentaires pour les équipes et les contrôles récurrents.

  • Rapports avancés
  • Historique dans le temps
  • Plus de règles de fournisseurs
Téléchargement

Team / Cloud

Liste d'attente

Une future version cloud optionnelle - toujours sans vrais secrets.

  • Vue d'équipe
  • Données masquées uniquement
  • Accès anticipé via liste d'attente
Téléchargement

Utilisez Env Clinic comme il vous convient.

Commencez avec le téléchargement, utilisez la CLI ou examinez le cœur ouvert sur GitHub. Le principe reste le même : les vrais secrets ne sont jamais téléversés.

Téléchargement pour débutants

Téléchargez la version pour votre système, lancez l'analyse locale et obtenez un rapport clair – sans téléverser de clés API.

Aller au téléchargement

CLI pour développeurs

Analysez votre projet directement dans le terminal – sans installation : npx @panart/env-clinic scan . Le cœur ouvert est sur GitHub.

Sur GitHub

GitHub Releases bientôt

Artefacts vérifiés et sommes de contrôle, dès que les releases seront disponibles.

Voir les releases

Cœur ouvert du scanner

Examinez le scanner, la logique de masquage et le modèle de sécurité dans le dépôt.

Voir le code

Télécharger Env Clinic

Téléchargez la version adaptée à votre système. Pas besoin de Node.js.

Comment le lancer : Env Clinic est un outil en ligne de commande. Un double-clic ne montre que brièvement l'aide puis se referme aussitôt. Ouvrez un terminal, décompressez le fichier, placez-vous dans le dossier de votre projet et exécutez :

env-clinic scan .

macOS/Linux : après décompression, rendez le fichier exécutable avec chmod +x env-clinic. Les builds ne sont pas encore signés – d'où l'avertissement de sécurité au premier lancement.

Questions fréquentes

Mes clés API sont-elles envoyées quelque part ?
Non. Env Clinic fonctionne entièrement en local, ne fait aucun appel réseau et n'affiche que des valeurs masquées. Vous pouvez le vérifier vous-même : env-clinic scan --offline-proof.
Que veut dire faire tourner une clé ?
Faire tourner une clé signifie : supprimer l'ancienne clé chez le fournisseur et en créer une nouvelle. Changer seulement la valeur dans le code ne suffit pas - l'ancienne clé continue de fonctionner sinon.
Il a signalé une valeur d'exemple. Est-ce grave ?
Env Clinic essaie d'ignorer les marqueurs évidents. Si un exemple réaliste passe entre les mailles, renommez-le clairement en marqueur, par exemple your_api_key_here.
Pourquoi une clé service_role Supabase est-elle toujours critique ?
Parce qu'elle contourne les règles de sécurité et donne un accès complet à la base de données. Elle ne doit rester que dans un environnement serveur sécurisé, jamais dans le frontend ou un README.
Faut-il savoir coder ?
Vous lancez simplement une commande dans le dossier de votre projet. Les explications sont écrites pour les débutants.
Cela remplace-t-il un audit de sécurité ?
Non. Env Clinic est un premier contrôle utile avant le lancement, mais pas un remplacement d'un audit de sécurité professionnel.

Prêt à régler le chaos de vos clés API ?

Mettez vos secrets en ordre avant de lancer. En local, masqués et sans aucun téléversement.

Préparer une analyse locale