目次
- このページで分かること
- なぜリポジトリに入れてはいけないか
- GitHub Secretsとの違い
- Codexに確認を頼む指示文
- 誤って入れた時の基本方針
- やってはいけないこと
- 秘密情報チェックリスト
- 関連ページ
このページで分かること
秘密情報とは、第三者に見られると不正利用や情報漏えいにつながる可能性がある情報です。認証キー、パスワード、秘密鍵、接続情報、メール設定、OAuth情報、環境変数ファイル、設定ファイル、バックアップ、DB dump、ログファイル、個人情報などが候補になります。
なぜリポジトリに入れてはいけないか
publicリポジトリでは外部から見える可能性があり、privateでも権限設定や共有範囲を誤ると危険です。privateなら何を入れても安全、とは考えず、そもそも秘密情報をリポジトリ本文に入れない運用にします。
GitHub Secretsとの違い
GitHub Secretsは、ワークフローなどで使う秘密情報をコードへ直接書かないための仕組みとして扱います。ただし、何をSecretsへ寄せるか、誰が扱えるか、ログに出ないかは人間が確認します。
Codexに確認を頼む指示文
このリポジトリに、認証キー、パスワード、秘密鍵、接続情報、環境変数ファイル、設定ファイル、メール設定、個人情報、DB dump、ログファイルが混入していないか確認してください。修正はまだ行わず、該当候補と確認理由だけ報告してください。本物の値は出力しないでください。誤って入れた時の基本方針
- 公開を止める必要があるか判断する
- 値を画面や報告書に再掲しない
- 関係者へ確認する
- 該当情報の無効化や再発行を検討する
- 履歴に残っている可能性を確認する
- 次回から除外ルールを作る
やってはいけないこと
- 本物の値を例として書く
- privateだから安全と考える
- 秘密情報を報告書に貼り直す
- ログやバックアップを確認せず公開する
- AIに重要判断を丸投げする
秘密情報チェックリスト
- 認証キーが入っていない
- パスワードが入っていない
- 秘密鍵が入っていない
- 接続情報が入っていない
- 環境変数ファイルを確認した
- 設定ファイルを確認した
- バックアップやログを確認した
- 本物の値を出力していない