APIシークレットスキャナーコード内のAPIキーと機密情報を一括スキャン

コミット前にスキャンする理由とは？AWSキー1つの漏洩が大きな損失につながることも

APIシークレットスキャナーは、コードやテキストファイルから30種類以上の一般的な機密フォーマットを検出する、完全にブラウザ内で動作する静的解析ツールです。例えば、誤ってコードに書き込んでしまったAWSキー（AKIAxxxxxxxxxxxxxxxxのような形式）やGitHub Token（ghp_xxxxxxxxxxxxのような形式）を貼り付けると、ツールはすぐに該当行・種類・リスクレベルを示し、マスク表示（例：AKIA****************1234）でリスクを確認できるため、スクリーンショットなどで完全な機密情報を再度露出させる心配もありません。

検出対応の機密タイプ

高リスク：AWS Access Key ID、SSH/RSA/PGP秘密鍵、JWTトークン、Stripe本番キー ｜ 中リスク：GitHub PAT/OAuthトークン、Google APIキー、Slackトークン、Azure接続文字列、Shopifyトークン ｜ 低リスク：Mailgun/Mailchimpキー、Firebase URL、汎用のハードコードされたパスワード/シークレット、Basic Auth URL、Telegram Botトークン

使用のヒント

機密情報がコミット履歴に紛れ込むのを防ぐため、git commit前やコードレビューの際に本ツールを使うことをおすすめします。一度キーがgitの履歴に残ってしまうと、後から削除しても痕跡を完全に消すのは難しいため、コミット前にスキャンしておくのが最も安全な習慣です。

本ツールは静的な正規表現マッチングを採用しているため、100%正確というわけではありません。テスト用やダミーに見える文字列を誤って機密情報と判定してしまう（偽陽性）こともあれば、まだ対応していない新しい形式を見逃してしまうこともあります。スキャン結果は参考情報として活用し、最終的には目視での確認も併せて行うことをおすすめします。