シークレットスキャン とは？

APIキーやトークンなどが混ざっていないか、Git履歴や対応する投稿欄を調べる機能だよ。検出は対応パターンや設定に依存する。どんなパスワードでも必ず見つかるわけではなく、シークレットスキャンと送信を止めるpush protectionの対象も同じとは限らないんだ

テスト用の値を直書きしたまま残したり、.envファイルや設定ファイルを誤ってコミットしたりする場合があるよ。Git履歴を調べるツールなら、今のファイルから消えていても過去のコミットに残る認証情報を探せるんだ

GitHubでは、対応する秘密の種類に応じてリポジトリのアラートや提携サービスへの通知が行われるよ。自動失効は全てに共通する動作ではない。漏れた認証情報を失効・再発行し、利用先を更新して不正利用も確認する。コードから消すだけでは足りないんだ

Gitleaksなどをpre-commitフックに組み込むと、コミット時に検査し、検出した場合に止められるよ。GitHubのpush protectionは対応するシークレットの送信を止める機能。CIでの検査も組み合わせられるけれど、対象・設定・回避の扱いを確認する必要があるんだ

シークレット管理は保管・配布や更新を管理する役割で、この検査はコードなどへの混入を探す役割だよ。混入の検査も送信前の予防に使える。両方を組み合わせても安全が自動で保証されるわけではなく、必要最小限の権限や利用状況の確認も大切だね

Nxの公式報告は、2025年8月の悪意あるnpmパッケージが機密情報を公開GitHubリポジトリへ送った事例を説明しているよ。検査対象に対応形式の認証情報が現れれば検出に役立つが、窃取そのものを防ぐ機能ではない。CIログも自動で全て検査されるとは限らないんだ