まず一言でいうと
APIキーやトークンは、実際の値をCodexの指示文や公開ページに書かないのが基本です。
APIキー、トークン、Secrets、.env、config、ログは、便利な設定情報ではなく秘密情報です。Codex作業では、実値を見せずに「設定ファイルは触らない」「必要なら停止」と指示し、GitHub差分と公開ページに混ざっていないか確認します。
このページで整理すること
Codexに渡してよい情報、渡さない方がよい情報、伏せ方、置き換え方、公開前チェックを整理します。危険を煽るためではなく、実務でCodexを安全に使うための境界線を決めるページです。
Codexに渡してよい情報
- 実値なしで設定項目名だけ説明する
- Secretsや.envを触らない条件にする
- ログをそのまま貼らず要点だけ整理する
- GitHub差分で混入を確認する
渡さない方がよい情報
- APIキーやトークンの実値を貼る
- .envやconfigを公開する
- ログ全文を公開ページや報告書に入れる
- Secretsの値を本文で例示する
Codexに渡す前の情報分類表
| 情報 | 渡してよい？ | 注意点 |
|---|---|---|
| 公開済みURL | 基本OK | 対象を明確にする |
| ページ本文案 | 条件付き | 個人情報や顧客情報を伏せる |
| 画像素材 | 条件付き | 権利、人物、写り込みを確認する |
| APIキー | NG | 実値を入れない |
| パスワード | NG | 絶対に入れない |
| 顧客名 | 原則NG | 匿名化する |
| サーバーパス | 原則伏せる | 報告書では一般化する |
| DB情報 | NG | 構造変更は停止条件にする |
伏せ方・置き換え方
| 元の種類 | 置き換え例 |
|---|---|
| 実名 | 担当者A、利用者A |
| メールアドレス | メールアドレスA |
| サーバーパス | サーバーパスA |
| APIキー | APIキーは伏せる |
| 顧客名 | 顧客A |
| 電話番号 | 電話番号は省略 |
実際の値を渡さずに相談する
認証情報がからむ問題でも、実際の値を渡さずに相談できます。聞き方を変えるだけで、必要な答えは得られます。
| 渡してしまう聞き方 | 値を伏せた聞き方 |
|---|---|
| 「このキーが動かない（値を貼る）」 | 「認証情報が読み込まれない時の原因を教えて」 |
| 「この設定ファイルを見て（全文を貼る）」 | 「この形式で書いた場合の注意点は」 |
| 「このエラーを直して（接続情報入り）」 | 「このエラー文が出る一般的な原因は」 |
右側の聞き方でも、返ってくる答えの実用性はほとんど変わりません。原因の候補や確認手順を知りたいだけなら、具体的な値は必要ないためです。値を渡すのは、渡さないと答えが得られない場合に限ってください。
漏れてしまった時の順番
認証情報を渡してしまった、記録に残してしまった場合は、対応の順番が決まっています。
- 1. まず無効化する：これが最優先です。記録から消す作業より先に行います。
- 2. 新しいものを発行する：無効化で動かなくなる処理があれば差し替えます。
- 3. 影響範囲を確認する：そのキーで何ができたかを整理します。
- 4. 記録からの削除は後：手順が複雑なので、無効化を済ませてから落ち着いて行います。
順番が重要な理由は、記録から消しても、それまでに見られた可能性は消えないからです。無効化してしまえば、仮に見られていても使えません。慌ててファイルを消す前に、まず鍵を替えてください。
公開前チェック表
| 確認項目 | 見ること |
|---|---|
| 本文 | 個人情報や会社情報が出ていないか |
| 画像 | 顔、住所、連絡先、内部画面が写っていないか |
| リンク | 共有リンクが公開されすぎていないか |
| meta情報 | 内部情報や顧客名が入っていないか |
| 報告書 | パス、ログ、認証情報がないか |
| GitHub差分 | Secrets、.env、ログが混ざっていないか |
やってはいけないこと
Codexに秘密情報をそのまま貼らない、GitHub Secretsや.envの実値を公開しない、Google Drive共有範囲を確認せずリンクを渡さない、報告書を匿名化せず公開しない。この4つを最低限の停止線にします。
- 法律判断やセキュリティ判断を断定しない。
- DB、cron、.htaccess、AdSense、Search Console確認タグ、robots.txt、ads.txtは軽作業として扱わない。
- 成果保証、順位保証、安全性の保証を書かない。
関連ページ
FAQ
Codexに個人情報を渡してもいいですか？
作業に不要な個人情報は渡さない方が安全です。必要な場合も、匿名化や一般化を先に行い、公開前に再確認します。
APIキーやトークンはどう扱いますか？
実値は指示文、報告書、公開ページ、GitHub差分に出さないのが基本です。必要そうな場面では停止条件にします。
Google Driveリンクは貼ってよいですか？
共有範囲、閲覧権限、編集権限、含まれる個人情報や会社情報を確認してから判断します。実例リンクは公開ページに載せません。
報告書を実践ログ化できますか？
できますが、サーバーパス、ログ、顧客情報、認証情報、内部情報を一般化・匿名化してから使います。