IT用語
パスワードやAPIキー、秘密鍵など、他人に知られてはいけない値。コードに書かず専用の仕組みで管理する。
- 別名・略称
- 秘密情報
シークレットは、パスワード、APIキー、アクセストークン、秘密鍵、データベースの接続情報など、他人に知られてはいけない値のことです。開発や運用では、プログラムが使う 認証情報 を指して使われることが多い言葉です。
よくある漏えいの原因
- ソースコードや設定ファイルに直接書き、リポジトリ に公開してしまう
- ログやエラーメッセージ、スクリーンショットに含まれてしまう
- チャットやメール、課題管理ツールに貼り付けてしまう
- CI/CD のログに出力されてしまう
安全に管理するために
- コードに書かず、環境変数 やシークレットの管理機能（GitHub Actions の Secrets、AWS Secrets Manager など）に保存する
- 使う人やプログラムを限り、必要な権限だけを付ける（最小権限）
- 定期的に作り直す（ローテーション）
- GitHub のシークレットスキャンなどで、漏えいを検知する
漏えいしたときは
削除しただけでは不十分です。すでに誰かに使われている可能性があるため、すぐに無効化して新しいものを発行し、不正な利用の記録がないかを確認します。
