먼저 확인. 키가 이미 쓰인 흔적이 있는지부터 봅니다. 사용량이 갑자기 늘었거나 모르는 지역에서 호출된 기록이 있으면, 교체와 함께 발급처에서 결제 한도부터 낮추세요.
폐기가 먼저입니다
새 키를 먼저 만들고 나중에 옛 키를 지우면 서비스가 멈추지 않습니다. 대신 그 사이 옛 키는 계속 살아 있습니다.
공개된 키는 보통 몇 분 안에 자동 수집 봇에게 발견됩니다. 그래서 우리 리포트가 내보내는 런북은 폐기를 1번에 둡니다. 잠깐의 중단을 감수하고 노출을 먼저 닫는 쪽입니다.
- 01
노출된 키를 즉시 폐기하세요
발급처 콘솔에서 해당 키를 revoke 합니다. 리포트에는 그 제공자의 콘솔 주소가 함께 들어갑니다.
- 02
새 키를 발급하세요
가능하면 권한을 최소로 잡습니다.
- 03
새 키는 환경변수에만 넣으세요
코드가 아니라 .env·배포 환경 설정에 넣습니다. 1~3번은 끊지 말고 연달아 진행하세요 — 그 사이 그 키를 쓰는 기능은 멈춰 있습니다.
- 04
코드와 깃 기록에서 옛 키를 지우세요
파일에서만 지우면 깃 히스토리에는 그대로 남습니다. 그래서 파일 정리가 아니라 키 교체가 핵심입니다.
- 05
청구와 로그를 확인하세요
노출된 동안 도용 흔적이 없었는지 점검합니다.
다시 새지 않게 하려면
- 브라우저나 앱에 그대로 실려 나가는 값에는 비밀 키를 두지 않습니다. 서버를 거치게 합니다.
- 키마다 사용 한도와 허용 출처를 설정합니다.
- 커밋 전에 자동으로 검사하도록 걸어둡니다.
교체한 뒤 다시 검사해서 같은 값이 남아 있지 않은지 확인하세요. 저장소를 연결해 두면 푸시할 때마다 다시 확인합니다.