APIキー検出係

ひと目でわかる要点

• ブラウザに送られるものすべての中から、既知のシークレットキーのパターンを探します。
• キーはすべて伏せ字にし、ファイル名と行番号を示します。
• 再発行、無効化、編集はあなたが行います。

向いているモデル

パターン検索はスクリプトの仕事なので、検索を実行して結果を伏せ字にできるコーディングエージェントがいちばん合います。自前で動かすモデルなら、コードを自分のパソコンの中に置いたままにできます。サイトのコードを普段使いのチャットに貼り付けないでください。チャットに貼り付けたキーは、再発行が必要になります。

ルールを守らせる設定

• サイトのファイルには読み取り専用でアクセスさせ（読み取り専用モードやplanモード）、コミット、プッシュ、デプロイの権限は渡さないでください。
• サーバー専用の秘密のファイルは読めないようにしてください。.envのようなファイルに拒否ルールを追加できるコーディングエージェントもあります。
• ネットワークへのアクセスは、自分のサイトの公開ページを読み込むことだけに絞ってください。ほかのサービスを呼び出す必要はありません。
• サイトがキーを使っているAIサービスごとに、利用額の上限をはっきり設定してください。キーが漏れても、被害に天井ができます。
• 使っているツールでこのどれかができない場合は、その部分の仕事を人に任せてください。

信頼する前に、チェックを1つ

サイトのローカルのコピーに、sk_live_のあとにでたらめな英字を24文字続けたような偽のキーを加えてください。スキャンがそれを伏せ字にして、ファイル名と行番号とともに一覧に載せ、何も変更しなければ合格です。