Détecter les secrets dans le code : Gitleaks, Betterleaks, Trivy et Presidio, ce que disent les sources
Sources vérifiées le 18 octobre 2026 (comparatif rédigé le 18 octobre 2026).
Lecture des sources publiques, sauf mention d'un test d'usage séparé lié dans le texte : ce comparatif ne donne ni classement ni note. Notre méthode.
En résumé
Une clé API publiée par erreur sur un dépôt est un incident courant. Plusieurs outils open source cherchent ces secrets avant qu'ils ne partent, mais ils ne répondent pas tous au même problème. Ce comparatif distingue ce que chacun dit faire, d'après ses sources publiques. Il ne classe rien : hormis Gitleaks, Trivy et Presidio, qui ont fait chacun l'objet d'un test d'usage séparé le 2026-10-18 (Gitleaks, Trivy, Presidio ; une machine, jeux synthétiques), nous n'avons exécuté aucun de ces outils.
| Gitleaks | Betterleaks | Trivy | Presidio | |
|---|---|---|---|---|
| Problème traité | Secrets (clés, mots de passe, jetons) dans git, dossiers ou entrée standard | Secrets, même équipe que Gitleaks | Dépendances, images, configurations, et aussi secrets | Données personnelles dans du texte (pas des secrets de code) |
| Licence | MIT | MIT | Apache-2.0 | MIT |
| Statut relevé | Auteur : « feature complete », correctifs de sécurité seulement | Dernière release lue : v2.0.0-rc.2 (préversion) le 2026-10-07 | Dernière release lue : v0.76.0 le 2026-10-14 | Dernière release lue 2.2.364 le 2026-07-22 |
| Fiche du catalogue | Fiche Gitleaks | Aucune | Fiche Trivy | Fiche Presidio |
Gitleaks
- Détecte les secrets dans l'historique git, des dossiers ou l'entrée standard (README lu le 2026-10-17). Installation par Homebrew, image Docker, binaires de la page des releases ou compilation Go.
- Configuration par fichier TOML (règles à expression régulière, entropie minimale, listes d'autorisation) ; l'option
--redactmasque les secrets dans les journaux. Sans elle, l'outil imprime les secrets trouvés : ne collez pas ces rapports dans un ticket. - Le README affiche : « Gitleaks is feature complete. I'm not merging new features into Gitleaks. Future releases will be security patches only. I'm shifting my focus to Betterleaks ». Dernière release lue : v8.30.1 le 2026-03-21.
- Environ 277 issues ouvertes (page lue le 2026-10-17, résumé automatique), dont le mode pre-commit sur fichiers indexés qui ne détecterait pas les secrets (#2281) et deux demandes de correction de CVE (#2305, #2291), dont nous n'avons pas vérifié la validité.
- Licence MIT (fichier LICENSE lu : « Copyright (c) 2019 Zachary Rice »).
Détail : avis MagicMate sur Gitleaks. Résultats mesurés, commandes et limites : test réel de Gitleaks 8.30.1.
Betterleaks
- Annoncé dans le README de Gitleaks comme successeur, par la même équipe. Son propre README et sa licence MIT ont été lus ; dernière release lue : v2.0.0-rc.2, une préversion, le 2026-10-07. Il met en avant la validation active des secrets, le filtrage par expressions et de nouvelles sources (GitHub, GitLab, S3).
- Nous n'avons pas évalué sa maturité au-delà de ce README et n'avons pas d'avis MagicMate dessus. Pour un nouveau projet, l'avis sur Gitleaks recommande de le considérer avant d'installer Gitleaks.
Trivy
- Apache-2.0 (README et fichiers LICENSE de Trivy et de sa base de vulnérabilités relus le 2026-10-17). Le README ne mentionne aucun modèle d'IA ; la base de vulnérabilités est téléchargée à l'exécution.
- La fiche du catalogue le décrit comme un outil qui scanne dépendances, images Docker, manifestes Kubernetes et fichiers d'infrastructure, et détecte aussi des secrets exposés. Voir l'avis MagicMate et le test d'usage : dans ce test (Trivy 0.76.0, jeu synthétique), les deux règles AWS ont signalé un faux identifiant et une fausse clé secrète, et le rapport masque la valeur de la clé par défaut.
- Il couvre un périmètre plus large que Gitleaks : ce n'est pas un remplaçant direct, mais un outil voisin.
Presidio : un autre problème
Presidio détecte et masque des données personnelles (e-mail, carte bancaire, IBAN, téléphone) dans du texte, pas des secrets de code. Son avis relève qu'il est configuré par défaut pour l'anglais, que la liste officielle ne contient aucun identifiant français (SIREN, SIRET, NIR), et que son README prévient : « there is no guarantee that Presidio will find all sensitive information ». Il complète un scanner de secrets, il ne le remplace pas. Détail : avis MagicMate sur Presidio. Dans notre test d'usage de Presidio 2.2.364 (petit modèle spaCy anglais, deux textes inventés, une machine), le SIREN et le numéro de sécurité sociale d'un texte français sont restés en clair, et des mots ordinaires ont été classés à tort comme organisation ; le test ne dit pas si le grand modèle anglais donnerait moins de détections parasites.
TruffleHog et les services intégrés
Notre avis sur Gitleaks mentionne aussi TruffleHog et GitHub Secret Scanning comme alternatives. Nous n'avons pas évalué leur licence ni leur fonctionnement : ils ne sont donc pas comparés ici.
Points communs, valables pour tout scanner
- Un scanner à expressions régulières ne trouve pas tout : l'absence de résultat n'est pas une preuve d'absence de secret.
- Un secret déjà publié doit être révoqué, pas seulement détecté.
- Les rapports qui contiennent des secrets en clair doivent être stockés avec des droits restreints (voir #2299 dans la liste des issues de Gitleaks).
Ce que nous n'avons pas testé
Hors du test réel de Gitleaks 8.30.1, du test réel de Trivy 0.76.0 et du test réel de Presidio 2.2.364 (petits jeux synthétiques, une machine), aucune installation, aucun scan, aucune mesure de faux positifs ou d'omissions sur des dépôts réels, aucun test du hook pre-commit, aucune vérification des CVE signalées contre la dernière version de Gitleaks, aucun test de Betterleaks, aucun test de Presidio avec un modèle français ou le grand modèle anglais, aucune comparaison de vitesse. Ces informations peuvent changer : date de vérification des sources, 2026-10-18.
Sources
Lues les 17 et 18 octobre 2026 (README, LICENSE, flux Atom et pages d'issues GitHub, résumés automatiques pour les pages d'issues).
- https://github.com/gitleaks/gitleaks (README, LICENSE, releases.atom, issues #2281, #2291, #2299, #2305)
- https://github.com/betterleaks/betterleaks (README, LICENSE, releases.atom)
- https://github.com/aquasecurity/trivy (README, LICENSE)
- https://github.com/microsoft/presidio (README, LICENSE, docs/supported_entities.md, releases.atom)
- Nos tests d'usage du 2026-10-18 : Gitleaks, Trivy, Presidio
- Avis MagicMate : Gitleaks, Avis MagicMate : Trivy, Avis MagicMate : Presidio