シークレット・APIキースキャナー
コード、設定、ログ、diff に漏れた APIキー、トークン、パスワードを見つけてマスク
入力
2 MB までの任意のテキストファイル。読み込んだファイルはテキストとして扱われ、実行されません。
詳細設定
カテゴリー
検出結果
マスク済み出力
検出結果はすべて置き換えられます。一覧にない diff 行の秘密情報も含みます。誤検知として隠したものはそのまま残ります。
パターン照合ではシークレットを見逃したり、安全な値を検出したりすることがあります。マスク済みのコピーを確認し、漏れた認証情報はすべてローテーションしてください。
シークレット・APIキースキャナーとは
シークレット・APIキースキャナーは、コード、設定、ログ、環境ファイル、git diff をコミット・貼り付け・共有する前に、認証情報が含まれていないか確認します。プロバイダーのキーとトークン（AWS、GitHub、GitLab、Stripe、OpenAI、Slack、Google など多数）、秘密鍵ブロック、パスワードを含むデータベースやブローカーの URL、認可ヘッダー、JWT、Webhook のシークレット、機密を示すキー名に設定されたパスワードを認識します。結果には行と列、プロバイダー、信頼度、マスクしたプレビューが表示され、マスク済みのコピーをそのままコピーまたはダウンロードできます。
使い方
- 1.テキストを貼り付けるか、2 MB までのテキストファイルや例を読み込みます。
- 2.入力の種類は自動検出のままにするか、形式を選びます。git diff では「追加行のみ」で追加行の検出結果だけを一覧に表示し、マスク済みのコピーはすべての行を対象にします。
- 3.「スキャン」を選びます。検出結果は重大度順に並び、行を選ぶと入力内の位置に移動します。
- 4.値は確認が必要なときだけ表示し、誤検知は非表示にしてマスク対象から外します。
- 5.マスク方式を選び、マスク済みのテキストをコピーするか安全なコピーをダウンロードします。
検出の仕組み
検出では、既知のプロバイダー接頭辞、値の周りのキー名やヘッダー名、想定される長さと文字種、ランダムさ（エントロピー）を組み合わせます。ハッシュ、UUID、ビルド ID もランダムに見えるため、ランダムに見えるだけの値は信頼度「低」でのみ報告します。changeme、your-key のようなプレースホルダーや process.env.API_KEY のような環境変数参照は無視します。ソースコードでは、引用符付きのリテラルではなく変数名や型名の値はスキップします。個人データ、金融データ、住所は既定でオフで、詳細設定でオンにできます。
プライバシーと制限
スキャンとマスクはブラウザー内で行われます。テキストはアップロード、保存、記録されず、ページのアドレスにも入りません。元の値は「値を表示」を選んだときだけ表示されます。スキャナーはシークレットが残っていないことを証明できません。組織独自の形式、分割やエンコードされた値、バイナリファイル内のシークレットは見逃す可能性があります。認証情報がまだ有効かどうかも確認しません。漏れた認証情報はすべて侵害されたものとみなし、ローテーションしてください。
