Codex GitHub secrets check
Codex作業後にGitHubで秘密情報を確認するには
Secretsチェックは、Codexの作業にAPIキーや認証情報が混ざっていないかを見る安全確認です。
このページで整理すること
Codexで作業した後に、GitHubやGitで何を確認すればよいかを初心者向けに整理します。GitHub公式やOpenAI公式の案内ではなく、実務で事故を避けるための確認メモとして読んでください。
Codexでできること
- 秘密情報が必要なら停止する
- 具体値を本文に出さない
- 触らないファイルを守る
- 報告書で安全確認結果を伝える
GitHub / Gitで確認すること
- 差分内の秘密情報らしき文字列
- .env や config の変更
- ログやデバッグ出力
- 認証情報を含むファイル
- 公開してはいけないパス
実際の作業フロー
- Codexに作業を頼む対象URL、対象ファイル、やること、やらないことを明確にします。
- 変更ファイルを見る作業対象以外のファイルが変わっていないか確認します。
- GitHubで差分を見る追加行、削除行、変更理由を確認します。
- Secretsや余計なファイルを確認するAPIキー、認証情報、ログ、.env が混ざっていないか見ます。
- PR本文を読む未確認事項、停止条件、確認結果を把握します。
- 人間がmerge判断するmain直pushや勝手なmerge、本番deployは軽く扱いません。
認証情報が入り込む経路
気をつけているつもりでも、認証情報が記録に残ってしまう経路があります。意図して書き込む以外の入り方を知っておくと防げます。
| 経路 | 起きる状況 | 防ぎ方 |
|---|---|---|
| 動作確認のための直書き | 「一時的に」書いてそのまま記録した | 最初から環境変数など外部から読む形にする |
| 設定ファイルの取り込み | 対象外にする設定を書き忘れた | 作業を始める前に除外設定を用意する |
| ログファイル | 出力に認証情報が含まれていた | ログの中身を一度目で確認する |
| スクリーンショット | 画面の一部に写り込んだ | 貼る前に拡大して端まで見る |
| エラーメッセージの貼り付け | エラー文に接続情報が含まれていた | 貼る前に読んで、値を伏せる |
1行目が最も多い経路です。「後で消すつもり」で書いたものが、消す前に記録されます。一時的にでも書かない運用にする方が確実です。
入ってしまった場合の順番
認証情報を記録に残してしまった場合、ファイルを消すだけでは不十分です。対応には順番があります。
- まず該当の認証情報を無効化する：これが最優先です。記録から消す作業より先に行います。
- 新しい認証情報を発行する：無効化で動かなくなる処理があれば差し替えます。
- 公開範囲を確認する：公開状態だった場合、すでに取得されている前提で考えます。
- 記録からの削除は後：手順が複雑なので、無効化を済ませてから落ち着いて行います。
順番が重要な理由は、記録から消しても、それまでに見られた可能性は消えないからです。無効化してしまえば、仮に見られていても悪用できません。慌ててファイルを消す前に、まず鍵を替えてください。
やってはいけないこと
APIキー、トークン、秘密鍵、DB情報、GitHub Secretsの具体値は例示しません。必要になった時点で止めて、人間が安全な方法を判断します。
- GitHub上の重い操作は、人間が範囲と結果を確認してから判断する。
- main直push、勝手なmerge、本番deployを軽作業扱いしない。
- APIキー、トークン、秘密鍵、GitHub Secrets、認証情報を本文に出さない。
- DB、cron、.htaccess、AdSense、Search Console確認タグ、robots.txt、ads.txtを触らせない。
- 成果や検索順位、安全性を約束する表現を書かない。
| 場面 | 見ること | やらないこと |
|---|---|---|
| 外出先 | 報告書、URL、差分 | 本番deploy |
| スマホ | 表示確認、軽い指示 | merge判断の即決 |
| 別PC | PR確認、差分確認 | 認証情報の表示 |
| 移動中 | 次の指示整理 | 危険ファイル変更 |
関連ページ
FAQ
Codexにcommitやpushを任せていいですか？
作業範囲やチームルールによります。初心者向けには、まず差分とPRを人間が確認し、main直pushや勝手なmergeを避ける方が安全です。
GitHub Secretsの値をCodexに貼ってもいいですか？
貼らないでください。Secrets、APIキー、トークン、秘密鍵、認証情報は具体値を出さず、必要になった時点で停止条件にします。
スマホでPRをmergeしてもいいですか？
スマホでは差分や報告の確認までに留め、mergeやdeployのような重い判断はPCで落ち着いて確認するのが安全です。
Gitの危険なコマンドも覚える必要がありますか？
初心者ページでは危険なコマンド例を扱いません。戻し作業が必要な時は、対象を確認して別作業として慎重に進めます。