Vangrail: API-sleutels en wachtwoorden maskeren

Vangrail die API-sleutels, tokens, wachtwoorden, privésleutels en verbindingsstrings maskeert voordat een tekst, bestand of export naar een AI gaat. Regels, 14 testgevallen, code.

Regels

Maskeer vóór het versturen naar de AI elk geheim dat toegang geeft tot een account of dienst:
- API-sleutels (OpenAI, Anthropic, Mistral, Stripe, AWS…) en toegangstokens (GitHub, JWT);
- wachtwoorden in leesbare tekst (wachtwoord=…, password: …);
- privésleutels (-----BEGIN … PRIVATE KEY-----);
- inloggegevens in een adres (postgres://gebruiker:wachtwoord@server).
Doorlaten: voorbeeldwaarden (JOUW_API_SLEUTEL, xxx, <sleutel>), adressen zonder inloggegevens, order- of commitnummers, tekst over wachtwoorden zonder wachtwoord.
Toepassen voordat je een .env-bestand, een database-export of logs in een assistent plakt.

Testgevallen

Code

import re

PATTERNS = {
    "private_key": r"-----BEGIN [A-Z ]*PRIVATE KEY-----[\s\S]*?-----END [A-Z ]*PRIVATE KEY-----",
    "aws_key": r"\bAKIA[0-9A-Z]{16}\b",
    "github_token": r"\bgh[pousr]_[A-Za-z0-9]{36,}\b",
    "llm_api_key": r"\bsk-(?:ant-|proj-)?[A-Za-z0-9_-]{20,}\b",
    "stripe_key": r"\b[sr]k_(?:live|test)_[A-Za-z0-9]{16,}\b",
    "jwt": r"\beyJ[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}\b",
    "url_credentials": r"\b[a-z][a-z0-9+.-]*://[^\s:/@]+:[^\s@/]+@",
    "password_assignment": r"(?i)\b(?:password|passwd|pwd|secret|api_?key|token|wachtwoord)\s*[:=]\s*[\"']?[^\s\"']{6,}",
}
PLACEHOLDERS = ("xxx", "...", "<", "your", "jouw_", "example_value")

def mask_secrets(text: str) -> tuple[str, bool]:
    """Vervangt geheimen door [type gemaskeerd]; geeft de tekst terug en True als er iets gemaskeerd is."""
    found = False
    for name, pattern in PATTERNS.items():
        def repl(m):
            nonlocal found
            if any(p in m.group(0).lower() for p in PLACEHOLDERS):
                return m.group(0)
            found = True
            return f"[{name} gemaskeerd]"
        text = re.sub(pattern, repl, text)
    return text, found

Identificatie

contextetech--geheimen-api-sleutels-maskeren

Bestand

geheimen-api-sleutels-maskeren.guardrail.json

Formaat

JSON (application/json)

Grootte

2.581 bytes (2,5 KB)

Codering

UTF-8

Geschatte tokens

≈ 714

Commercieel gebruik

Toegestaan

Persoonsgegevens

Geen

Versie

1.0

Gepubliceerd op

10 oktober 2026 om 04:24

Bijgewerkt op

16 oktober 2026 om 23:20

Opslag

in de database

Geschatte kosten

Invoertokens per aanroep

≈ 1.059

Alleen de invoerkosten, zonder het antwoord van het model. Openbare standaardprijzen van de aanbieders (Mistral AI, DeepSeek, OpenAI, Anthropic), omgerekend van USD naar euro tegen de ECB-koers van 13 oktober 2026. Schatting: 1 token ≈ 3,6 tekens.

geheimen-api-sleutels-maskeren.guardrail.json

{
  "format": "contextetech/guardrail/v1",
  "id": "contextetech/geheimen-api-sleutels-maskeren",
  "description": "Vangrail die API-sleutels, tokens, wachtwoorden, privésleutels en verbindingsstrings maskeert voordat een tekst, bestand of export naar een AI gaat. Regels, 14 testgevallen, code.",
  "license": "MIT",
  "language": "nl",
  "type": "other",
  "action": "mask",
  "rules": "Maskeer vóór het versturen naar de AI elk geheim dat toegang geeft tot een account of dienst:\n- API-sleutels (OpenAI, Anthropic, Mistral, Stripe, AWS…) en toegangstokens (GitHub, JWT);\n- wachtwoorden in leesbare tekst (wachtwoord=…, password: …);\n- privésleutels (-----BEGIN … PRIVATE KEY-----);\n- inloggegevens in een adres (postgres://gebruiker:wachtwoord@server).\nDoorlaten: voorbeeldwaarden (JOUW_API_SLEUTEL, xxx, <sleutel>), adressen zonder inloggegevens, order- of commitnummers, tekst over wachtwoorden zonder wachtwoord.\nToepassen voordat je een .env-bestand, een database-export of logs in een assistent plakt.",
  "cases": [
    {
      "input": "AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE",
      "expected": "block"
    },
    {
      "input": "token: ghp_000000000000000000000000000000000000",
      "expected": "block"
    },
    {
      "input": "ANTHROPIC_API_KEY=sk-ant-00000000000000000000000000000000",
      "expected": "block"
    },
    {
      "input": "STRIPE_SECRET=sk_live_0000000000000000000000",
      "expected": "block"
    },
    {
      "input": "DATABASE_URL=postgres://admin:S3cretPass@db.internal:5432/app",
      "expected": "block"
    },
    {
      "input": "-----BEGIN RSA PRIVATE KEY-----\nMIIEpAIBAAKCAQEA0000000000000000\n-----END RSA PRIVATE KEY-----",
      "expected": "block"
    },
    {
      "input": "Authorization: Bearer eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIwMDAwMDAifQ.0000000000000000000000",
      "expected": "block"
    },
    {
      "input": "wachtwoord = Zomer2026!",
      "expected": "block"
    },
    {
      "input": "Het wachtwoord moet minstens 12 tekens lang zijn.",
      "expected": "allow"
    },
    {
      "input": "Vervang JOUW_API_SLEUTEL door de sleutel van je account.",
      "expected": "allow"
    },
    {
      "input": "De documentatie staat op https://docs.voorbeeld.nl/api.",
      "expected": "allow"
    },
    {
      "input": "Commit a1b2c3d lost de inlogfout op.",
      "expected": "allow"
    },
    {
      "input": "Bestelling nr. 2026-10-458712 is verzonden.",
      "expected": "allow"
    },
    {
      "input": "Log in met je gewone account.",
      "expected": "allow"
    }
  ]
}

Een tekst controleren (Python)

import re

PATTERNS = {
    "private_key": r"-----BEGIN [A-Z ]*PRIVATE KEY-----[\s\S]*?-----END [A-Z ]*PRIVATE KEY-----",
    "aws_key": r"\bAKIA[0-9A-Z]{16}\b",
    "github_token": r"\bgh[pousr]_[A-Za-z0-9]{36,}\b",
    "llm_api_key": r"\bsk-(?:ant-|proj-)?[A-Za-z0-9_-]{20,}\b",
    "stripe_key": r"\b[sr]k_(?:live|test)_[A-Za-z0-9]{16,}\b",
    "jwt": r"\beyJ[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}\b",
    "url_credentials": r"\b[a-z][a-z0-9+.-]*://[^\s:/@]+:[^\s@/]+@",
    "password_assignment": r"(?i)\b(?:password|passwd|pwd|secret|api_?key|token|wachtwoord)\s*[:=]\s*[\"']?[^\s\"']{6,}",
}
PLACEHOLDERS = ("xxx", "...", "<", "your", "jouw_", "example_value")

def mask_secrets(text: str) -> tuple[str, bool]:
    """Vervangt geheimen door [type gemaskeerd]; geeft de tekst terug en True als er iets gemaskeerd is."""
    found = False
    for name, pattern in PATTERNS.items():
        def repl(m):
            nonlocal found
            if any(p in m.group(0).lower() for p in PLACEHOLDERS):
                return m.group(0)
            found = True
            return f"[{name} gemaskeerd]"
        text = re.sub(pattern, repl, text)
    return text, found