「Code診断ラクダ」にAPIキーのフロントエンド露出検出機能を追加。公開してはいけない秘密情報を点検

株式会社Arstruct（代表取締役：大西快積）は、Webサービスのリスクを整理する「Code診断ラクダ」に、APIキーがフロントエンドに露出している状態を検出する機能を追加しました。

AIサービスや決済サービスなどで使う、本来は非公開にすべきAPIキーが、利用者のブラウザから確認できるコードに含まれていないかを点検します。画面の動作確認だけでは気付きにくい秘密情報の扱いを確認し、経営者と開発担当者が、公開前後に対応すべき事項を整理するための機能です。

画面に表示されなくても、APIキーが見えていることがある

ログインできる、画面が表示される、AIから回答が返ってくる。こうした動作が正常でも、外部サービスを呼び出すための秘密のAPIキーが、ブラウザに配信されるJavaScriptへ含まれている場合があります。

また、環境変数に保存しただけで秘密情報を保護できるとは限りません。フロントエンド向けに公開する設定では、ビルド時に値がコードへ組み込まれることがあります。「画面に表示していないこと」と「利用者から取得できないこと」は別です。

公開すべきでないキーを第三者に取得されると、そのキーに与えられた権限で外部サービスを不正に利用されるおそれがあります。動作確認に加え、どの情報をブラウザへ渡しているかを点検することが重要です。

公開を前提とするキーと、秘密のキーを区別する

APIキーには、ブラウザでの使用を前提とする公開用のキーと、サーバー側で秘密に管理する必要があるキーがあります。キーがコードに含まれているという理由だけで、すべてを漏えいと判断するものではありません。

今回追加した機能は、フロントエンドに含めてはいけないAPIキーの露出を確認するためのものです。指摘を受け取った開発担当者は、対象のキーの種類、付与された権限、提供元の利用条件を確認し、実際の実装と照らし合わせて対応を判断します。

コードと設定を材料に、根拠と改善優先順位を整理

Code診断ラクダの詳細診断では、コードと設定を読み取り、技術・運用・データ・法務を含む10カテゴリ・100要素の観点からリスクを整理します。APIキーの露出に加え、認証・認可、DBルール、API保護、AI・決済・個人情報・外部連携に伴う運用リスクも確認対象です。

レポートには、指摘と根拠、重大度、改善優先順位、修正難易度や工数の目安をまとめます。経営者は対応の優先度を把握し、開発担当者は指摘された内容を実装と照合して、修正や追加確認が必要な箇所を検討できます。

検出結果は判断材料であり、すべての秘密情報や脆弱性の発見、サービスの安全性を保証するものではありません。

コードの提供方法は二つ。GitHubは読み取り専用

詳細診断には、GitHubのRead-only連携、またはコード一式をアップロードする方法で情報を提供します。GitHub連携は読み取り専用で、診断のための書き込み権限は不要です。

診断時にコードを書き換えたり、変更を提案するプルリクエスト（PR）を作成したりすることはありません。コードを参照して指摘をまとめ、修正の実施や公開の判断は利用者側で進めます。

公開URLと自己申告による無料簡易診断は、詳しく見るべき領域を整理する入口です。コードと設定を確認する詳細診断とは範囲が異なり、無料簡易診断を受けただけで、コード内部の秘密情報まで確認済みになるわけではありません。

活用イメージ：AI機能を備えた会員制サービスの公開準備

以下は、使い方を説明する仮想の利用場面です。実際の診断結果や顧客事例ではありません。

会員ごとの申込情報を扱い、AIによる回答機能も備えるWebサービスの公開を控えているとします。担当者は、会員と管理者の権限、利用する外部API、秘密情報の管理方法を整理し、診断対象のコードを提供します。

確認したいのは、利用者ごとのデータ参照制限やAPI側の権限確認に加え、AIサービスの秘密のAPIキーがブラウザ側へ渡っていないかという点です。指摘があれば、レポートの根拠と自社の構成を照合し、対応範囲を開発担当者と検討します。

秘密のキーの露出が確認された場合は、コードから削除するだけで終わらせず、発行元の手順に沿ったキーの無効化・再発行や利用履歴の確認、サーバー側で秘密情報を扱う構成への見直しを進めます。これらは利用者側が実施する対応であり、本機能が自動で行うものではありません。

診断範囲と料金を確認して、公開前後の判断材料に

詳細診断は、29,800円（税込）の「診断レポート」プランで提供します。改善ロードマップの設計や実装対応の相談を含む「改善サポート」は、別の提供範囲です。

申込みごとの都度課金で、診断対象は利用者自身が権利を持つもの、または必要な権限・同意を得たものをご用意ください。

「動いているから問題ない」で終わらせず、公開するコードに秘密情報が含まれていないかを確認する。公式サイトで診断範囲とコードの提供方法をご確認のうえ、自社サービスの点検にご活用ください。

👇Code診断ラクダの詳細診断・利用条件を確認する

https://code-rakuda.com/

株式会社Arstruct

Webサービスのリスクを整理する診断サービス「Code診断ラクダ」を提供しています。
会社URL：https://arstruct.co.jp/