Download
FunzioniSicurezzaPrezziDownloadPer vibe coder
Controllo di sicurezza localeOpen Source · MIT

Trova le chiavi API, capisci i rischi, lancia in sicurezza.

Env Clinic analizza il tuo progetto in locale per individuare file .env rischiosi, secret esposti e regole di protezione mancanti. Ricevi passi di correzione chiari, senza caricare vere chiavi API.

Prepara una scansione localeVedi il modello di sicurezza
Funziona in locale sul tuo dispositivoI veri secret vengono oscuratiNessuna analisi cloud in V1
env-clinic
$ env-clinic scan .
Safety: local only · secrets redacted · network: no
[critical] OpenAI API Key src/config.ts:12
sk-proj-...A9xQ
[critical] Stripe Secret .env:4
Launch Score: 35 / 100 — Do not launch
  • Funziona in locale sul tuo dispositivo
  • I veri secret vengono oscurati
  • Nessuna analisi cloud in V1
  • Nessuna telemetria
  • Nessuna chiamata LLM/API
  • Pensato per i progetti di vibe coding

Cos'è Env Clinic – e per chi?

Env Clinic è un controllo di sicurezza locale per chiavi API e file .env. Lo avvii con un comando nel tuo progetto, ottieni una panoramica chiara dei rischi e passi di correzione concreti – prima del lancio.

Cos'è

Un piccolo strumento locale da riga di comando. Analizza i file del progetto, mostra le chiavi rischiose oscurate e spiega cosa fare. Niente cloud, niente account.

Per chi

Per vibe coder, fondatori solitari e piccoli team che costruiscono in fretta e vogliono lanciare in sicurezza – anche senza basi di sicurezza.

Perché ora

Strumenti IA come Claude e Codex producono codice in minuti. I secret si disperdono altrettanto in fretta. Un controllo rapido prima del lancio ti evita fughe costose.

Le tue chiavi API sono sparse ovunque

Quando si costruisce in fretta, i secret finiscono presto dove non dovrebbero. È normale – ed è esattamente ciò che Env Clinic controlla per te. Clicca su un rischio per capire cosa succede e come risolverlo.

Chiave API direttamente nel codice

Una chiave API è direttamente nel codice invece che in una variabile d'ambiente.

.env committato in Git per errore

Il file .env è stato aggiunto a Git per sbaglio.

Chiave in chat o screenshot

Una chiave è stata copiata in una chat, un ticket o uno screenshot.

Chiave reale nel README

Una vera chiave di test è ancora nel README.

Chiave service_role nel frontend

Una chiave service_role di Supabase è nel frontend, mentre dovrebbe restare solo sul server.

Persa di vista la situazione delle chiavi

Nessuno sa più quale chiave viene usata e dove.

Come funziona Env Clinic

  1. 1

    Scansiona il progetto in locale

    Avvii Env Clinic nella cartella del tuo progetto. Tutto avviene sul tuo dispositivo.

    env-clinic
    $ env-clinic scan .
    Scanning 42 files · local only · network: no
  2. 2

    Vedi i secret oscurati

    Env Clinic mostra le chiavi trovate solo in forma abbreviata, ad esempio sk-proj-...9xyz. Il valore completo non appare mai.

    env-clinic
    [critical] OpenAI API Key src/config.ts:12
    Value: sk-proj-…A9xQ (redacted)
  3. 3

    Capisci il rischio

    Un semplice semaforo ti mostra cosa è innocuo e cosa va corretto subito.

    env-clinic
    critical 1 high 1 medium 1 low 0
    Launch Score: 35 / 100 — Do not launch
  4. 4

    Applica le correzioni

    Ogni rilevamento include indicazioni chiare: cosa fare, se ruotare la chiave e dove deve essere conservata.

    env-clinic
    Fix: remove the key, rotate it at the provider,
    store it as a server-side env var · Rotate: yes
  5. 5

    Scansiona di nuovo

    Esegui una nuova scansione e vedi salire il tuo Launch Score.

    env-clinic
    $ env-clinic scan .
    Launch Score: 100 / 100 — Good

Cosa fa Env Clinic

Scansione locale dei secret

Trova chiavi API e secret nei file del progetto - completamente in locale.

Mehr erfahren

Controllo .env

Verifica i tuoi file .env per individuare contenuti rischiosi e confusioni.

Mehr erfahren

Controllo .gitignore

Ti dice se i tuoi file .env sono davvero protetti da Git e ti fornisce le righe mancanti.

Mehr erfahren

Scansione cronologia Git

Su richiesta cerca vecchie fughe anche nella cronologia Git locale.

Mehr erfahren

.env.example sicuro

Crea un file .env.example pulito - solo nomi di variabili, senza valori reali.

Mehr erfahren

Launch Score

Un punteggio da 0 a 100 mostra a colpo d'occhio se sei pronto per il lancio.

Mehr erfahren

Istruzioni per principianti

Spiegazioni in linguaggio semplice invece di gergo di sicurezza.

Mehr erfahren

Report HTML/JSON

Report locali da consultare o riutilizzare - senza alcun contenuto esterno.

Mehr erfahren

La tua promessa di sicurezza

Env Clinic è costruito in modo che i tuoi veri secret non lascino mai il tuo dispositivo.

Nessun caricamento di secret

I veri secret non vengono mai caricati. La scansione avviene solo in locale sulla tua macchina.

Nessuna telemetria

Nessun tracker, nessuna analitica, nessuna statistica nascosta.

Nessun contenuto esterno

I report non caricano font, immagini o script esterni.

Nessuna chiamata LLM

Env Clinic non invia il tuo codice a nessuna IA né a nessuna API esterna.

Test canary

Test automatici verificano che nessun vero valore di secret finisca in un report.

Report locali

Tutti i report restano in locale nel tuo progetto. Mantieni il controllo totale.

Open source

Fiducia attraverso la trasparenza

Il cuore di Env Clinic è open source. Leggi ogni riga tu stesso e verifica: nessuna chiamata di rete nascosta, nessuna telemetria, niente lascia il tuo dispositivo.

Vedi il codice su GitHub
  • Ogni riga verificabile
  • Nessuna chiamata di rete nel codice
  • Licenza MIT – libera da usare

Fiducia verificabile

Env Clinic punta su una fiducia verificabile: lo scanner gira in locale, i veri secret vengono oscurati e il core aperto può essere esaminato. Le release dovrebbero uscire con checksum e prove di build.

  • Scansione locale
  • Nessun caricamento di secret
  • Core aperto dello scanner
  • Report oscurati
  • Test canary
  • Checksum SHA-256
  • Attestazioni di build (previsto)
  • Provenienza npm (prevista)
  • Firme opzionali in seguito
Esamina il codice

Prezzi

Env Clinic parte gratuito e locale. Le funzioni avanzate arrivano più avanti.

Free Local

Gratuito

Lo scanner locale completo.

  • Scansione locale dei secret
  • Controllo .env e .gitignore
  • Launch Score
  • Report HTML/JSON
Download
★

Pro Reports

Più avanti

Funzioni di report aggiuntive per team e controlli ricorrenti.

  • Report avanzati
  • Storico nel tempo
  • Più regole per i provider
Download

Team / Cloud

Lista d'attesa

Una futura versione cloud opzionale - sempre senza veri secret.

  • Panoramica del team
  • Solo dati oscurati
  • Accesso anticipato tramite lista d'attesa
Download

Usa Env Clinic come preferisci.

Inizia con il download, usa la CLI o esamina il core aperto su GitHub. Il principio resta lo stesso: i veri secret non vengono mai caricati.

Download per principianti

Scarica la versione per il tuo sistema, avvia la scansione locale e ottieni un report chiaro – senza caricare chiavi API.

Vai al download

CLI per sviluppatori

Scansiona il progetto direttamente nel terminale – senza installazione: npx @panart/env-clinic scan . Il core aperto è su GitHub.

Su GitHub

GitHub Releases in arrivo

Artefatti verificati e checksum, non appena le release saranno disponibili.

Vedi le release

Core aperto dello scanner

Esamina lo scanner, la logica di oscuramento e il modello di sicurezza nel repository.

Vedi il codice

Scarica Env Clinic

Scarica la versione adatta al tuo sistema. Nessun Node.js richiesto.

Come avviarlo: Env Clinic è uno strumento da riga di comando. Un doppio clic mostra solo brevemente l'aiuto e si richiude subito. Apri un terminale, decomprimi il file, entra nella cartella del progetto ed esegui:

env-clinic scan .

macOS/Linux: dopo aver decompresso, rendi il file eseguibile con chmod +x env-clinic. I build non sono ancora firmati – da qui l'avviso di sicurezza al primo avvio.

Domande frequenti

Le mie chiavi API vengono inviate da qualche parte?
No. Env Clinic funziona completamente in locale, non effettua chiamate di rete e mostra solo valori oscurati. Puoi verificarlo tu stesso: env-clinic scan --offline-proof.
Cosa significa ruotare?
Ruotare significa: eliminare la vecchia chiave presso il provider e crearne una nuova. Cambiare solo il valore nel codice non basta - altrimenti la vecchia chiave continua a funzionare.
Ha segnalato un valore di esempio. È grave?
Env Clinic cerca di ignorare i segnaposto evidenti. Se un esempio realistico sfugge, rinominalo chiaramente come segnaposto, ad esempio your_api_key_here.
Perché una chiave service_role di Supabase è sempre critica?
Perché aggira le regole di sicurezza e dà accesso completo al database. Deve restare solo in un ambiente server sicuro, mai nel frontend o in un README.
Servono competenze di programmazione?
Devi solo eseguire un comando nella cartella del progetto. Le spiegazioni sono scritte per principianti.
Sostituisce un audit di sicurezza?
No. Env Clinic è un primo controllo utile prima del lancio, ma non sostituisce una verifica di sicurezza professionale.

Pronto a risolvere il caos delle tue chiavi API?

Metti in ordine i tuoi secret prima di lanciare. In locale, oscurati e senza alcun caricamento.

Prepara una scansione locale