Rexact
Cheatsheet

Regex Slack token (xoxb-, xoxp-, xapp-…)

A Slack token starts with a prefix giving its type (xoxb- bot, xoxp- user, xapp- app-level, xoxe.xapp- rotating app-level) and consists of sections separated by '-': the documentation says the last section is the secret, 32 characters long (6 or 10 for user tokens created before August 2016). Its example, xoxp-111-222-333-d6bc768406e5c2e6958cfc399b438004, has 3-digit sections. Gitleaks and trufflehog instead require 10 to 13 digit sections: trufflehog rejects the documented token. Gitleaks only looks at bots, detect-secrets accepts the prefix in uppercase, secretlint accepts a two-section token and an unlimited number of sections. Here's an anchored pattern following the documented structure (prefix, 2 to 3 sections, secret of at least 6 characters), compared against those tools.

/^(?:xoxb|xoxp|xapp|xoxe\.xapp)(?:-[0-9A-Za-z]{1,40}){2,3}-[0-9A-Za-z]{6,64}$/
passes 23/23 cases

Comparison of existing patterns

SourcepatternScore on the corpusReDoS
gitleaks (slack-bot-token) — bots seulement (xoxp- et xapp- ne sont pas reconnus), sections de 10 à 13 chiffres : « xoxb-111-222-3334445 » est rejeté ; sans ancres : un jeton suivi d'un espace passexoxb-[0-9]{10,13}-[0-9]{10,13}[a-zA-Z0-9-]*14 / 23undetermined
trufflehog (Slack User Token) — sections de 10 à 13 chiffres : rejette les trois exemples xoxp-111-222-333-… de la documentation, ainsi que xoxb- et xapp- ; sans ancresxoxp\-[0-9]{10,13}\-[0-9]{10,13}[a-zA-Z0-9\-]*16 / 23undetermined
detect-secrets (Yelp, SlackDetector) — drapeau IGNORECASE : « XOXB-… » en majuscules passe ; sections numériques obligatoires, donc xapp- (qui a une section alphanumérique) n'est pas reconnu ; sans ancresxox(?:a|b|p|o|s|r)-(?:\d+-)+[a-z0-9]+13 / 23undetermined
secretlint (règle Slack) — \b et sections alphanumériques, mais accepte xoxa, xoxo, xoxr (non documentés), un nombre illimité de sections (« xoxb-1-2-3-4-5-abcdefgh ») et un jeton sans vrai secret (« xoxb-111-222 »)\b(?:xoxb|xoxp|xapp|xoxa|xoxo|xoxr)-(?:\d-)?(?:[a-zA-Z0-9]{1,40}-)+[a-zA-Z0-9]{1,40}\b16 / 23undetermined

Implementation

const re = new RegExp("^(?:xoxb|xoxp|xapp|xoxe\\.xapp)(?:-[0-9A-Za-z]{1,40}){2,3}-[0-9A-Za-z]{6,64}$", "");
re.test(input);

Limits

  • Valide seulement la FORME : ne prouve pas que le jeton existe, est actif ni de quel espace de travail il vient. Un jeton bien formé mais inventé passe ce motif.
  • La documentation Slack ne donne que les préfixes, le séparateur « - » et la longueur du secret des jetons d'utilisateur (32 caractères, parfois 6 ou 10) : le nombre de sections (3 à 4 au total hors préfixe) et l'alphabet alphanumérique viennent d'exemples et des détecteurs. Le motif accepte un secret d'au moins 6 caractères, plus large que le 32 documenté.
  • Le préfixe xwfp- (jetons de workflow) est documenté mais non couvert, faute de structure publiée ; les jetons de configuration, de rotation (xoxe.xoxp-…) et les URL de webhook (hooks.slack.com/services/T…/B…/…) sont d'autres formats.
  • Pour détecter des jetons dans du texte, retirez les ancres et entourez de \b. Ne collez jamais un vrai jeton dans un outil en ligne : utilisez des chaînes factices pour les tests.

Related pages