Codexに個人情報・Secrets・APIキーを入れていい？作業前に確認したい安全チェック

結論：外に出ると困る情報は入れない

APIキー、GitHub token、SSH鍵、秘密鍵、DB接続情報、FTP情報、管理画面URL、ログイン情報、顧客情報、契約や請求に関わる情報は、Codexへの依頼文にも公開ページにも入れません。必要な場合は、値そのものではなく「環境変数で読む」「Secretsに登録済み」とだけ伝えます。

Secretsとは何か

Secretsは、外部に出るとログイン、課金、データ取得、なりすまし、サーバー操作につながる情報です。キー、トークン、秘密鍵、認証情報、接続文字列、管理者URL、バックアップ、SQL dump、ログ内の認証情報などが含まれます。

Codexに渡さない情報

作業依頼に入れない情報を先に決めます。実値のキー、トークン、SSH鍵、.env、DB接続、FTP情報、サーバーIP、Basic認証、管理画面ログイン、顧客名、メール、電話番号、住所、契約書、請求書、売上明細、未公開サービス資料、社内資料、医療や金融などのセンシティブ情報は伏せます。

.envと環境変数の扱い

.envの実ファイルはGitHubにもCodexにも公開ページにも出しません。共有するなら、値を入れない.example形式の説明だけにします。gitignoreで除外し、過去コミット、deploy report、作業ログ、バックアップにも実値が残っていないか確認します。

GitHub tokenとSSH鍵

GitHub tokenやSSH鍵は、private repoであっても本文やREADMEやIssueに貼りません。Actionsで必要な値はSecrets管理に置き、PR本文やレビュー依頼では名前と役割だけを説明します。漏れた可能性がある場合は削除だけで終わらせず、再発行や無効化を含めて確認します。

個人情報と会社情報

顧客名、会社名、担当者名、メール、電話番号、住所、契約条件、請求情報、内部資料、未公開案件名は、必要がなければ一般化します。記事例では「顧客A」「example社」「管理画面」といった無効な表現に置き換えます。

安全な頼み方の例

安全な依頼では、実値を貼らずに状況だけを伝えます。たとえば「環境変数名だけ確認して」「.envの中身は見ずに.exampleを作って」「顧客名は伏せたまま導線を整えて」「Secretsの登録有無だけ前提にして」と書きます。

作業前チェックリスト

Codexに頼む前に、貼ろうとしている文章、添付ファイル、スクリーンショット、ログ、CSV、バックアップ、HTML、sitemap、公開記事を見直します。秘密情報が含まれるなら貼らず、ダミー値に置き換えてから依頼します。

• 本物のキーやトークンを含まない
• 個人名やメールを必要以上に含まない
• .envやログをそのまま貼らない
• 公開記事に秘密情報の例を出さない
• 漏れた場合の停止条件を決める

もし漏れたら

漏れた疑いが出たら通常作業を止めます。該当値を使い続けず、関係者に確認し、必要に応じて再発行、無効化、履歴確認、ログ確認、バックアップ確認を行います。これは法律判断ではなく、運用上の安全確認として扱います。