chore: tracker-leak pre-push scanner needs CI-side backstop + wider coverage

Abierto

#1,142 abierto el 25/8/2026 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad: 4/5
Tiempo estimado: 3-5 días
Aptitud para principiantes: 48/100

Tipo de issue: Nueva funcionalidad
Claridad: Bastante claro
Estado de actividad: Activo
Stack tecnológico: git, github-actions, typescript
Área: ci-cd, devtools, security

Línea de trabajo

Empieza por script/check-tracker-leaks.ts y luego inspecciona .github/workflows/* y los hostnames de .claude/rules/* a los que hace referencia. Compara los patrones pre-push existentes con el backstop de CI propuesto y una cobertura más amplia de RULES; se considera terminado cuando las comprobaciones acordadas se ejecutan en CI y el alcance documentado coincide con los patrones aplicados.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Found during v0.9.7 release review (CTO + Chaos Gremlin personas), and already self-disclosed in the originating commit (205a953d62 / PR #1085).

The pre-push tracker-leak scanner (script/check-tracker-leaks.ts) currently:

Covers exactly two patterns: Jira key (\bAI-\d+) and the altimateai.atlassian.net hostname.
Has no CI-side mirror — the originating PR deferred this because the session's token lacked workflow scope to add .github/workflows/*.
Is bypassable via SKIP_TRACKER_CHECK=1 or simply never installed (git config core.hooksPath .husky is opt-in).

A contributor merging via the GitHub UI, the API, or without the hook installed gets zero enforcement today. The scanner's own docs ('public repo hardening') can read as more comprehensive than it is.

Suggested follow-up:

Add a CI job mirroring the pre-push check (needs a workflow-scoped token).
Widen RULES to cover other internal-only hostnames referenced in this repo's own .claude/rules/* (e.g. onealtimate.com), not just the Atlassian one.
Consider whether customer/tenant name patterns or credential-shaped strings (AWS keys, connection strings) belong in scope, or should be a separate secret-scanning tool.

Lenguaje dominante: TypeScript
Estrellas: 813
Forks: 134
Merge medio: 2 d 3 h
PR fusionados (30 d): 65