APIキーをGitHubに上げてしまったら

レン

しまった！APIキーを書いたままGitHubに上げちゃった！でも消したから大丈夫だよね！？

プロクラ

落ち着いて。でも残念だけど、消しただけでは終わらないんだ。順番に対処しよう。

ウィルスン

フフフ…公開された瞬間から、ワタシは見ているのだよ。新しく公開されたコードを常時監視し、認証情報らしき文字列を自動で拾い集めている。数分で十分だ。キミが気づいて消す頃には、もう手元にある。

レン

数分で！？そんなに早いの！

やるべきこと（この順番で）

• 1. まず鍵を無効化する。消すことより、使えなくすることが先
• 2. 新しい鍵を発行して、環境変数など安全な場所に置き換える
• 3. その鍵で不正な利用がなかったか、利用履歴・請求を確認する
• 4. そのうえで、コミット履歴からも削除する

なぜ「消すだけ」では駄目なのか

プロクラ

Gitは履歴を残す仕組みだからだよ。最新のコードから消しても、過去のコミットを辿れば読める。さらに、フォークされていたり、検索サービスにキャッシュされていたりもする。完全に消しきれる保証は無いんだ。

プロクラ

だから「消す」ではなく「その鍵を無価値にする」のが正しい対処。無効化してしまえば、誰に見られていても害はないからね。

次から防ぐには

• 認証情報は必ず環境変数（.envファイル）に置き、コードに直接書かない
• .envを.gitignoreに入れる（新しいプロジェクトを作った最初にやる）
• コミット前に差分を目視する習慣をつける
• 認証情報の混入を検知する仕組みを導入する

プロクラ

やってしまった経験がある人は多いよ。大事なのは、気づいたときに素早く無効化すること。恥ずかしがって黙っているほうがずっと危険だからね。