Se procura "alternativas gratuitas para sanitizar configurações", vai encontrar dois tipos de ferramentas muito diferentes: utilitários de scripting gerais que se podem adaptar (bash, VSCode, CyberChef), e uma onda crescente de extensões de navegador construídas especificamente para redigir texto antes de o colar num chat de IA. Quase nenhuma do segundo grupo sabe o aspeto de uma palavra-passe de vizinho BGP ou de uma community string SNMP. Aqui fica uma comparação honesta dos dois mundos.

O caminho do scripting: bash, VSCode, CyberChef

O que estas ferramentas realmente oferecem

  • Comandos bash (sed/grep) — rápidos se já souber o padrão exato a remover, mas escreve regex nova para cada fabricante e cada formato de credencial, e um padrão esquecido significa uma palavra-passe real a sair no paste.
  • Regex manual no VSCode — a mesma ideia com interface gráfica e histórico de procurar/substituir, útil para um caso pontual, tedioso para um fluxo recorrente, continua sem qualquer conhecimento de fabricantes.
  • CyberChef — corre inteiramente no lado do cliente no navegador, o modelo de privacidade correto, e as suas receitas "Find / Replace" e "Extract" podem ser encadeadas em algo funcional. Mas a receita é construída por si, do zero, por fabricante.

São opções legítimas se apenas mexer na sintaxe de um fabricante e se sentir confortável a manter a sua própria biblioteca de regex. Deixam de escalar no momento em que cola configs de três marcas de firewall diferentes na mesma semana.

O caminho da extensão de navegador: ferramentas genéricas de privacidade IA

Existe uma categoria separada para um problema diferente: remover dados pessoais (emails, nomes, números de cartão) antes de colar no ChatGPT ou Claude. Várias opções gratuitas e de código aberto fazem bem esse trabalho para esse caso de uso — vale a pena conhecer, mesmo resolvendo um problema diferente do de uma config de rede:

O que os redatores genéricos de PII/segredos cobrem, e o que não cobrem

  • Cobrem bem: emails, formatos genéricos de chaves de API (sk-..., ghp_...), números de cartão, telefones — o tipo de PII que aparece em qualquer texto, não só em configs de rede.
  • Não cobrem: sintaxe específica de fabricante. Nenhum reconhece uma linha enable secret Cisco, um set psksecret FortiGate, ou um export MikroTik RouterOS suficientemente bem para capturar todos os formatos de credencial dentro dele — porque não foram construídos para isso.
  • Não cobrem: a diferença entre um hash forte e um reversível. Uma palavra-passe Cisco tipo 7 é trivialmente reversível; um hash bcrypt não é. Os redatores genéricos mascaram ambos da mesma forma, se detetarem o padrão — não têm qualquer conceito de robustez de credencial.

Se o seu único objetivo é "não colar o meu email no ChatGPT", um redator genérico é uma escolha decente, muitas vezes gratuita. Se o seu objetivo é "não colar a palavra-passe do meu vizinho BGP nem a minha community string SNMP no ChatGPT", não foi construído para isso, e testar vários contra exports reais de router/firewall mostra sempre a mesma lacuna: o texto é processado, mas os segredos específicos da config passam intactos.

Onde uma ferramenta específica de rede muda o resultado

Existe também uma categoria mais pequena e mais antiga construída especificamente para configs de rede — ferramentas de linha de comandos como o Netconan, pensadas para ISPs e MSPs que precisam de entregar uma config sanitizada a um cliente ou fabricante. São sólidas para esse caso de uso original: processar ficheiros em lote antes de saírem de uma fila de suporte. Para o que não foram construídas é para o momento em que quer mesmo colar uma config num assistente de IA e fazer-lhe uma pergunta — sem fluxo dentro do navegador, sem chat BYOK, sem copiar com um clique.

Como isto se traduz na prática A deteção consciente do fabricante apanha o que as ferramentas genéricas não veem

Uma linha enable secret 5 $1$... Cisco, um bloco set psksecret ENC ... FortiGate, um export MikroTik RouterOS com uma frase-passe WPA incorporada, uma message-digest-key OSPF, uma chave de servidor TACACS+ — tudo isto segue uma sintaxe específica de fabricante que um scanner de PII genérico não tem motivo para conhecer, e que um anonimizador CLI genérico não tem motivo para expor num fluxo colar-e-perguntar.

Tabela comparativa

Ferramenta Análise consciente do fabricante Onde corre Chat de IA integrado Custo
bash / sed / grep Não (escreve você) Terminal Não Grátis
Regex manual no VSCode Não (escreve você) Editor Não Grátis
CyberChef Não (constrói a receita) Navegador, lado do cliente Não Grátis
Anonimizadores CLI tipo Netconan Parcial (multi-fabricante, sem análise de chaves de autenticação ao nível do protocolo) Terminal / pipeline CI Não Grátis, código aberto
Extensões genéricas de privacidade IA Não Navegador Varia, normalmente uma plataforma Maioritariamente grátis
ScrubForge Sim, 12 perfis de fabricante + segredos ao nível do protocolo (BGP, OSPF, HSRP, TACACS+, RADIUS, SNMP) Extensão de navegador Sim, BYOK com 5 fornecedores Nível grátis, Pro pago

Qual usar na realidade

Perguntas frequentes

O CyberChef é seguro para sanitizar configs de rede?

Sim, do ponto de vista da privacidade — corre inteiramente no navegador sem chamadas ao servidor. A limitação não é de privacidade, é de cobertura: o CyberChef não saberá que partes de uma config de router ou firewall são sensíveis a menos que construa essa lógica você mesmo, fabricante a fabricante.

As extensões genéricas de privacidade para ChatGPT capturam palavras-passe de router e firewall?

Não de forma fiável. São construídas para capturar PII genérica e formatos comuns de chaves de API, não sintaxe específica de fabricante como um enable secret Cisco, um PSK FortiGate, ou uma community string SNMP. Teste-as contra um export real de config e reveja a saída linha a linha antes de confiar nelas com credenciais de produção.

Qual é a diferença real entre um anonimizador CLI e o ScrubForge?

Ferramentas CLI como o Netconan são construídas para processamento em lote de ficheiros de config antes de os entregar a terceiros, de MSP para cliente ou de ISP para fabricante. O ScrubForge é construído para o fluxo colar-e-perguntar-à-IA: uma extensão de navegador com menu de contexto, deteção de fabricante, e um chat BYOK opcional que só vê tokens, nunca as suas credenciais reais.

Existe uma forma completamente gratuita de sanitizar uma config antes de a colar numa ferramenta de IA?

Sim. O nível gratuito do ScrubForge cobre o motor de deteção principal, os 12 perfis de fabricante e os tokens conscientes do formato, sem necessidade de conta. O nível pago acrescenta o chat de IA integrado, a análise profunda de entropia e o processamento em lote.