秘密情報の扱い — 消したコミットの中に、鍵はまだ残っている

What — 秘密情報は、どこから漏れるか

秘密情報（API キー、パスワード、署名用の鍵）は、書いた場所だけでなく、その値が通った場所すべてに残ります。

ローテーション

鍵を新しいものに差し替え、古い鍵を無効にすること。漏れていなくても定期的に行う。

無効化

発行元で鍵を使えない状態にすること。漏れた鍵に対して唯一効く対処。

シークレット管理サービス

秘密情報を暗号化して保管し、権限を持つ処理にだけ実行時に渡すサービス。

最小権限

その処理に必要な操作だけを許した鍵や権限にすること。漏れたときの被害を小さくする。

Why — なぜ「消す」では済まないのか

ファイルやログから値を消すのは、これから先に見つかる確率を下げる操作です。すでに誰かが読んだかどうかは変えられません。そして、読まれたかどうかは多くの場合確かめようがありません。

だから、漏れた可能性がある鍵への対処は**「読まれた前提で、使えなくする」**しかありません。

消す:     これから見つかる確率を下げる       → 読まれた鍵は使われ続ける
無効化:   読まれていても使えなくする         → 被害が止まる

値を置く場所

「どこにも残らない場所」は存在しません。値が見える人と経路を、できるだけ少なくするのが目標です。

const apiKey = "sk_live_…"

このサイト自身の判断

このサイトは決済に Stripe を使い、そのキーを シークレット管理サービスに置いて、実行時に読んでいます。インフラの定義（CDK）が作るのは空の入れ物だけで、値は定義にも、リポジトリにも、テンプレートにも入れていません。値は、デプロイ後に人が自分の端末から入れます。

作ってみて分かった注意点が2つあります。

• 差し替えは、すぐには効かない。 関数は読んだ値を一定時間キャッシュしているので、差し替えてもその時間ぶん古い値が使われる。ローテーションでは、古い鍵を少なくともその時間は有効にしておく必要がある
• テンプレートから参照する形は、差し替えを拾わない。 デプロイ時に値を解決する参照は、参照の文字列が変わらない限り、値が変わっても更新されない。差し替えのたびに、参照先の版を明示してデプロイし直している

演習 — まず自分で判断する

解説を読む前に、まず自分で判断してみてください。ここで一度詰まっておくと、 次の節の判断軸が「なるほど」ではなく「そう来たか」に変わります。