シークレットスキャン とは？

それは、コードの中にAPIキーやパスワードが混ざっていないかを自動でチェックしてくれる機能だよ。たとえば `OPENAI_API_KEY=sk-...` みたいな文字列がコードに含まれていたらすぐ警告を出してくれるんだ。

実はよくある失敗でね。「テスト用に一時的に書いた」「.envファイルを誤ってcommitした」「設定ファイルをコピーしたら含まれていた」といったケースが多いんだよ。GitHubで毎年数百万件のシークレット漏洩が検出されてるんだ。

GitHubの場合はリポジトリオーナーとサービス提供企業（例: OpenAI）に通知が届いて、場合によっては自動でトークンを無効化してくれるよ。GitGuardianのような専用ツールはSlackやJiraにも連携できるよ。

あるよ。pre-commitフックに「detect-secrets」や「gitleaks」などのツールを組み込めば、gitコマンドを実行した瞬間にチェックしてコミット自体をブロックできるんだ。CIパイプラインでも同じチェックを走らせておくと二重安全になるね。

シークレット管理ツールは「安全に保管・配布する」ための仕組み。シークレットスキャンは「誤って外に出てしまった場合に検知する」ための仕組みだよ。車のシートベルト（予防）と衝突センサー（検知）の違いみたいな感じだね。両方あって初めて安全が保たれるんだ

直接防ぐことは難しいけど、盗まれたトークンがGitHubのリポジトリに書き込まれたり、CIのログに出力されたりした場合には検知できるよ。根本的な対策は「最小権限のトークンを発行」「有効期限を短く設定」「使い終わったら即失効させる」の3つが基本だよ。