APIキー・シークレット安全度チェッカー
AIエージェントへの鍵の委任やGitHub Actionsなど、APIキー・シークレットを扱う場面は増える一方です。 質問に答えるだけで、権限設定や運用方法が安全かどうかを診断します。
シェアする：
.png){kind=icon}
概要
APIキーやシークレットの権限スコープ・保存場所・ローテーション有無・利用先を選択するだけで、 運用の安全度を赤（高リスク）・黄（中リスク）・緑（低リスク）で診断するツールです。 設定ファイルやワークフロー定義を貼り付けると、ハードコードやログ漏洩の疑いも追加でチェックします。
※診断処理はJavaScriptのみで行っています。サーバーに送信せず、ブラウザ内で完結しますので安全にご利用いただけます。実際のキーの値を入力する必要はありません。
実務での活用例
社内SE・開発者の現場では、APIキーの運用ルールが属人化しがちで、過剰な権限や長期間ローテーションされないキーが放置されやすい状況があります。
💡 AIエージェント導入時の鍵委任の見直し
状況: AIエージェントに外部APIを呼び出させる際、どこまでのキーを渡してよいか判断したい
活用方法: 利用先を「AIエージェント・LLMに直接渡す」に設定して診断し、推奨される設計を確認
期待効果: プロンプト経由の漏洩リスクを理解した上での設計判断ができる
💡 CI/CDパイプラインの棚卸し
状況: GitHub Actionsのワークフローで使っているシークレットの運用が適切か確認したい
活用方法: workflow定義を設定スニペット欄に貼り付け、echoによるログ漏洩などを検出
期待効果: ログ経由のシークレット漏洩という見落としがちなリスクを事前に発見
💡 新規クラウドキー発行時のセルフチェック
状況: 新しいAWS/GCPキーを発行する前に、権限設計が適切か確認したい
活用方法: 想定する権限スコープ・保存場所・ローテーション方針を選択して事前診断
期待効果: 最小権限の原則に沿った設計を、発行前のレビューの段階で徹底できる
詳しい使い方
主な機能
- 選択式の簡易診断 - 6つの質問に答えるだけでリアルタイムに診断
- 赤・黄・緑のリスク表示 - 総合的な安全度を一目で把握できる
- 項目別の解説 - どの設定がなぜ危険なのか、改善策とあわせて表示
- 設定スニペットの追加チェック - .envやCI/CD定義を貼り付けるとハードコードやログ漏洩も検出
- 結果のコピー - 診断結果をテキストでコピーし、レビュー記録に利用可能
使い方の手順
- 診断したいキーの種類・権限スコープ・保存場所などを選択する
- （任意）設定ファイルやワークフロー定義の一部を貼り付ける
- 右側に表示される総合リスク判定と項目別の解説を確認する
- 指摘された項目を1つずつ見直す
- 必要に応じて「結果をコピー」で診断結果を保存・共有する
💡 診断の評価軸
- 権限スコープ（最小権限になっているか）
- 保存場所（ハードコードされていないか、シークレット管理サービスを使っているか）
- ローテーション（定期的に鍵を更新しているか）
- 利用先（クライアントサイドやAIエージェントに平文で渡していないか）
- 有効期限（無期限になっていないか）
- （任意）貼り付けたコードにハードコードやログ出力の問題がないか
技術仕様とセキュリティ
すべての判定処理がブラウザ内で行われ、入力内容はサーバーに送信されません。実際のキーの値を入力する必要はなく、選択項目のみで診断できます。
本ツールはルールベースの簡易チェックです。実際の運用では、クラウドプロバイダーのIAMベストプラクティスや専門家によるレビューも併用してください。
Chrome、Firefox、Safari、Edgeなど主要なモダンブラウザに対応しています。
登録不要で完全無料でご利用いただけます。