APIキー– tag –

GitHubにAPIキーを書いたまま送ってしまっても、自動で見つけて止めてくれる仕組みがあります。ただし、守られる鍵と守られない鍵がはっきり分かれます。65件の業務システムを調べた記事と公式ドキュメントをもとに、仕組みと限界、運用担当が先にやる確認をまとめました。

.envに書いたAPIキーは、読み込んだAIエージェントがそのまま握ります。外から指示を仕込まれれば、AIは鍵を持ち出す「内通者」になりかねません。シークレットマネージャーとトークンボールトの違いを軸に、生の鍵をAIに見せない3つの層を整理しました。