シークレットとは何か

シークレット（secret）は、アプリやサービスが自分の権限を証明したり、保護された情報へ接続したりするために使う秘密値です。APIキー、データベースの認証情報、秘密鍵、署名用の値などが該当します。

漏えいすると第三者が同じ権限を使える場合があるため、コードや設定にある単なる文字列とは分けて管理します。

一文でいうと

シークレットとは、知っている者に権限や信頼を与えるため、閲覧できる範囲を厳しく制限すべき値です。

OWASPはシークレットの例として、APIキー、データベース認証情報、IAMの権限情報、SSH鍵、証明書などを挙げ、保管、配布、監査、ローテーションを含む管理の必要性を示しています。

外部APIを呼ぶ、データベースへ接続する、公開環境へデプロイする、Webhookが本物か検証する、コードへ署名するといった場面で登場します。

小さなアプリでも、シークレットが持つ権限は小さいとは限りません。漏えいによって次が起こり得ます。

値そのものだけでなく、その値で何ができるかを記録します。

シークレットは「安全な場所へ一度保存する」だけでは管理できません。

どのシークレットがどの環境で使われているか分からないと、更新時に停止させたり、事故時に無効化し切れなかったりします。

シークレットを環境変数へ入れることはありますが、環境変数のすべてがシークレットではありません。また、環境変数へ移しただけでは、管理画面の権限、ビルドログ、ブラウザへの配信、バックアップからの漏えいは防げません。

シークレットをGitの履歴、ログ、チャット、画面共有へ出した場合、見える場所から消しても、すでにコピーされた値は使い続けられます。

漏えいが疑われたら次を行います。

履歴の書き換えは追加対策であり、権限の失効を代替しません。

APIに使う代表的な値はAPIキーとは何か、プログラムへ渡す方法は環境変数とは何かで説明します。実際の棚卸しと事故対応は個人開発の秘密情報を安全に管理するへ進みます。