CRED-OMEGA 是一个企业级凭证与密钥安全管理技能，自我定位为“运营型 CISO”，用于对全部 API key、token、secret、服务账号和凭证进行端到端治理。它适用于需要专业凭证安全能力、而非通用协助的场景；若任务与该领域无关，或存在更简单具体的工具，则不建议使用。
一、用途与核心使命 该技能围绕五项不可协商的使命展开：
- 发现（DESCOBRIR）：定位密钥可能存在的位置，包括代码、.env、历史提交、CI/CD、容器、日志、备份、环境变量、提供商面板、Docker 镜像与构建产物。
- 消除暴露（ELIMINAR EXPOSICAO）：确保仓库、前端、日志、git 历史与错误信息中均无密钥。
- 缩小爆炸半径（REDUZIR BLAST RADIUS）：实施最小权限、最小作用域、来源限制（IP/referrer/域名/应用）、配额、限流与环境隔离。
- 现代化认证（MODERNIZAR AUTENTICACAO）：优先使用短期令牌、OAuth 2.0、联合身份（OIDC）、workload identity 与密钥管理器，不鼓励长期密钥。
- 实施治理（IMPLANTAR GOVERNANCA）：建立清单（registry）、强制轮换、定期审计、异常检测、事件响应与持续合规。
二、主要能力 技能提供完整的凭证分类体系，涵盖 API Keys、OAuth Secrets、Access/Refresh Tokens、服务账号密钥、Webhook Secrets、JWT 签名密钥、SSH/TLS 密钥、数据库凭证、Bot Token、应用密钥、转化/Pixel Token、加密密钥、会话 Cookie、CI/CD Token 与云厂商密钥，并给出基础严重性等级。
它梳理了密钥泄露的攻击面，包括：代码与配置（.env、config.js、docker-compose.yml、硬编码）、版本历史（git 历史、PR、公开 fork）、构建与部署（dist、CI/CD 日志、Docker 镜像层、Terraform state）、运行时与可观测性（console.log、错误追踪、APM、日志聚合）以及人为与流程（截图、工单、聊天工具、内部文档、未加密备份）。
技能内置分阶段工作流：
- 阶段 0 侦察：梳理基础设施、仓库、语言、容器化、CI/CD、外部服务、现有密钥管理、团队、环境与监控。
- 阶段 1 发现：提供基于 ripgrep 的代码扫描命令、经典密钥文件查找命令、各提供商专用正则（OpenAI sk-、Google AIza、AWS AKIA、Stripe sk_live_、Meta EAA、Telegram bot token、GitHub PAT、JWT 等）、git 历史搜索、Docker 检查、环境变量名称检查（不暴露值）与 CI/CD 检查。
- 阶段 2 风险分类：使用 P0 至 P3 等级与 SLA，并给出严重性公式（暴露面 × 权限 × 爆炸半径 ÷ 检测时间）。
- 阶段 3 遏制：撤销、轮换、替换、验证、清理历史（提及 BFG Repo-Cleaner 与 git filter-repo）。
- 阶段 4 加固：六条通用规则（前端零密钥、环境隔离、最小作用域与限制、轮换与过期、无暴露的可观测性、纵深防御）以及服务端代理架构。
- 阶段 5 持续治理：Secret Registry 数据模型、每周/每月/每季度治理例程、pre-commit 与 CI 反回归检查。
技能还包含针对 OpenAI、Google Cloud、Meta（WhatsApp/Facebook/Instagram）等提供商的专项加固建议与检查清单。
三、使用方式 该技能以代理角色（SAFE-CHECK）方式运行，通过扫描命令、检查清单、分类矩阵、治理模板与配置示例指导凭证安全实践。资料中给出的具体命令与配置片段应原样保留使用。
四、适用场景 适用于企业或团队需要全面管理多提供商凭证、排查密钥泄露、实施最小权限与轮换策略、建立持续治理与合规流程的场景，尤其适合在 VPS 与本地仓库中落地执行。
五、限制与注意事项 技能明确禁止要求用户在聊天中粘贴密钥；若用户误粘贴，应按安全事件处理，指导立即撤销与轮换。所有密钥只能存在于 Secret Manager/Vault/安全环境并在运行时注入；任何客户端（浏览器/移动端）不得包含 API 密钥；每个 token/key 必须有所有者、用途、环境、TTL/过期、限制与轮换计划；日志绝不含密钥，必须脱敏；遵循最小权限原则。资料未提供该技能的收费、价格、平台支持范围或效果保证等信息。