AIコーディング時代のシークレット漏洩対策完全ガイド 2026年版

# シークレット関連ファイル
.env
.env.local
.env.development
.env.production
.env.staging

# 秘密鍵・証明書
*.pem
*.key
*.p12
*.pfx
secrets/
credentials/

# クラウドプロバイダーの設定
.aws/
.gcp/
.azure/
service-account.json
credentials.json

# その他
config/database.yml
config/secrets.yml
.vault-token

DATABASE_PASSWORD=actual_password_here
OPENAI_API_KEY=sk-xxxxxxxxxxxxxxxxxxxxxxxx
GITHUB_TOKEN=ghp_xxxxxxxxxxxxxxxxxxxx
JWT_SECRET=your_jwt_secret_here

DATABASE_PASSWORD=
OPENAI_API_KEY=
GITHUB_TOKEN=
JWT_SECRET=

import os
from dotenv import load_dotenv

load_dotenv()

DB_PASSWORD = os.getenv("DATABASE_PASSWORD")
if not DB_PASSWORD:
    raise ValueError("[ERROR] DATABASE_PASSWORD is not set")

API_KEY = os.getenv("OPENAI_API_KEY")
if not API_KEY:
    raise ValueError("[ERROR] OPENAI_API_KEY is not set")

# detect-secretsとpre-commitをインストール
pip install detect-secrets pre-commit

# ベースライン（既存の許可済みシークレット）を作成
detect-secrets scan > .secrets.baseline

# ベースラインを確認・編集（false positiveを除外）
detect-secrets audit .secrets.baseline

repos:
  - repo: https://github.com/Yelp/detect-secrets
    rev: v1.4.0
    hooks:
      - id: detect-secrets
        args: ['--baseline', '.secrets.baseline']
        exclude: package.lock.json

# pre-commitフックをGitに登録
pre-commit install

# テスト：現在の全ファイルをスキャン
pre-commit run detect-secrets --all-files

$ git commit -m "Add config"
detect-secrets...................................FAILED
- hook id: detect-secrets
- exit code: 1

ERROR: Potential secrets detected!
  config.py:
    - Line 5: Secret Key: api_key = "sk-xxxxxxxxxxxx"

Please review the above findings. If these are false positives,
run: detect-secrets audit .secrets.baseline

# シークレットファイルをClaudeの読み込み対象外に
.env
.env.local
.env.production
secrets/
credentials/
*.pem
*.key
*.p12
.aws/
service-account.json
config/database.yml

## Security Rules

### Secrets Management
- NEVER hardcode API keys, passwords, tokens, or secrets in code
- ALWAYS use environment variables: os.getenv() / process.env
- ALWAYS validate required env vars at startup and raise errors if missing
- Flag any pattern matching: password|key|token|secret|api_key|credential

### Code Generation Rules
- Generated code must use .env pattern for all credentials
- Include startup validation: raise error if required env var is not set
- Never suggest hardcoded credentials, even as placeholder examples

name: Secret Scanning
on:
  push:
    branches: ['**']
  pull_request:
    branches: ['**']

jobs:
  trufflehog:
    name: TruffleHog Secret Scan
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0  # 全コミット履歴をスキャン

      - name: TruffleHog OSS
        uses: trufflesecurity/trufflehog@main
        with:
          path: ./
          base: ${{ github.event.repository.default_branch }}
          head: HEAD
          extra_args: --debug --only-verified

Step 1: 即座にシークレットをローテート（無効化・再生成）
  - GitHub Token → Settings → Developer settings → Personal access tokens
  - AWS          → IAM → アクセスキーを無効化 → 新しいキーを生成
  - Google Cloud → IAMサービスアカウントのキーを削除
  - 各種API      → サービスのダッシュボードでキーを再生成

Step 2: 誰がアクセスしたか確認
  - GitHubのアクセスログを確認
  - AWSのCloudTrailでアクセス履歴を確認
  - 不審なアクセスがあれば即座にエスカレーション

Step 3: Git履歴からシークレットを削除
  - git-filter-repo または BFG Repo Cleaner を使用
  - 全ブランチとタグに適用
  - git push --force-with-lease で上書き

Step 4: チームへの通知
  - 関係者全員に状況を共有
  - 必要であればインシデントレポートを作成