Esta versão vai além do nome e do status Git dos arquivos de ambiente: agora o envguard também inspeciona o conteúdo desses arquivos em busca de segredos reais, sem nunca expor os valores encontrados.

Principais Novidades da v0.3.0​

1. Detecção de Padrões de Provedores Conhecidos​

Um novo motor de assinaturas regex identifica credenciais reais dentro dos arquivos de ambiente escaneados:

• Chaves de acesso AWS (AKIA...)
• Chaves secretas Stripe (sk_live_/sk_test_)
• Tokens de acesso pessoal GitHub (ghp_, gho_, etc.)
• Chaves privadas PEM (RSA, EC, OpenSSH, DSA)
• Tokens genéricos Bearer

2. Detecção por Entropia de Shannon (opt-in)​

Além das assinaturas conhecidas, o envguard pode calcular a entropia de cada valor CHAVE=VALOR para sinalizar segredos aleatórios que não correspondem a nenhum provedor catalogado — chaves criptográficas, hashes e tokens gerados aleatoriamente. Por gerar mais falsos positivos, esse modo é desativado por padrão e habilitado via .envguard.yaml.

3. Severidade Independente por Secret Match​

Cada segredo encontrado (Secret Match) recebe sua própria severidade, calculada com piso CRITICAL (arquivo tracked/staged) ou HIGH (arquivo apenas local), e respeitando qualquer severity_overrides já configurado como teto. A severidade efetiva de um arquivo passa a considerar o maior valor entre o Finding e seus Secret Matches.

4. Controle Fino via .envguard.yaml​

detector:
  entropy_scan: false
  secret_providers: [] # vazio = todos: aws, stripe, github, pem, bearer-token
  secret_ignore: [] # ex: ["TEST_*"] para ignorar chaves de fixtures

5. Seguro por Design​

Como em toda a ferramenta, o valor do segredo nunca é impresso em nenhuma saída (terminal ou JSON) — apenas linha, nome da chave, método de detecção e provedor.

Como Atualizar​

go install github.com/joaooncode/envguard/cmd/envguard@latest

Verifique a versão instalada:

envguard version
# envguard v0.3.0

Confira a documentação de configuração para habilitar a detecção por entropia e personalizar os provedores monitorados!

Esta versão consolida a automação e remediação do ecossistema do envguard, trazendo recursos nativos para proteger o fluxo de desenvolvimento antes mesmo da execução de commits.

Principais Novidades da v0.2.0​

1. Suporte a Git Pre-commit Hooks (envguard hook)​

• Instalação Nativa (envguard hook install): Cria o script executável em .git/hooks/pre-commit com detecção de assinatura e proteção contra sobrescrita acidental.
• Inspeção Instantânea (envguard hook run): Avalia exclusivamente os arquivos preparados para commit (staged) em menos de 10ms, bloqueando o commit se houver variáveis de ambiente desprotegidas.
• Integração Oficial com Python pre-commit: Arquivo .pre-commit-hooks.yaml incluído na raiz do repositório para adoção imediata.

2. Remediação Automática com envguard fix​

• Analisa o repositório e insere automaticamente os arquivos de ambiente desprotegidos no .gitignore da raiz.
• Suporte a simulação não-destrutiva com --dry-run para pré-visualizar as alterações antes de aplicar no disco.

3. Inicialização e Sanitização de Templates (envguard init)​

• Gera o arquivo .envguard.yaml completo e comentado.
• Suporte à geração de templates .env.example através da higienização automática (--template e --template-from), removendo valores sensíveis e preservando chaves e comentários.

4. Arquivo de Configuração .envguard.yaml​

• Controle total de ignore_dirs, custom_patterns, allowlist e severity_overrides por projeto ou via flag --config.

Como Atualizar​

go install github.com/joaooncode/envguard/cmd/envguard@latest

Verifique a versão instalada:

envguard version
# envguard v0.2.0

Confira a documentação oficial para explorar todos os novos comandos e guias de integração!

O envguard é uma ferramenta open source de linha de comando desenvolvida em Go para impedir que arquivos .env e segredos de variáveis de ambiente sejam comitados acidentalmente em repositórios Git.

Destaques da versão v0.1.0​

• Detecção Git-Aware: Reconhecimento automático de arquivos .env rastreados (tracked), na stage (staged) ou desprotegidos fora do .gitignore.
• Varredura Ultrarrápida: Construído em Go nativo, 100% offline e sem envio de telemetria ou segredos para a rede.
• Saída Flexível: Relatórios visuais no terminal e saída estruturada em JSON (--format json).
• Validação para CI/CD: Comando envguard check com códigos de saída determinísticos (0 ou 1) para bloquear pipelines inseguras.

Como Instalar​

go install github.com/joaooncode/envguard/cmd/envguard@latest

E execute:

envguard scan

Confira a documentação completa para saber mais sobre como integrar no seu dia a dia e nos seus pipelines de CI/CD!