---
title: "漏えいした認証情報: サンプル ドメインにキーを送信した場合"
description: "example-petstore.com に送信したキー、トークン、パスワードは誤ったサーバーに届いています。無効化と再発行を GitHub、AWS、Stripe などのリンク付きで説明します。"
url: https://example-petstore.com/ja/guides/leaked-credentials
language: ja
---

# 漏えいした認証情報: 今すぐ行うべきこと

コードがキー、トークン、パスワード、セッション Cookie を example-petstore.com や example-commerce-host.com に送信した場合、それらは管理下にないサーバーに届いています。漏えいしたものとして扱い、置き換えてください。無効にできるのは、発行したサービスだけです。

## 今すぐ行うこと

1. キー、トークン、パスワードを発行したサービスで**無効にします**。コードから削除するだけでは不十分です。
2. **新しいものを発行し**、コードやバージョン管理ではなく、設定やシークレット マネージャーに保存します。
3. 新しい認証情報が実際のサービスにのみ送信されるよう、先にコード内の**アドレスを修正します**。
4. サンプル ドメインへの最初のリクエスト以降に心当たりのないアクティビティがないか、そのサービスのアクセスログや監査ログを**確認します**。
5. 実際のカード情報を送信した場合は、**カード発行会社に連絡します**。

## プロバイダ別の無効化

| プロバイダ | 無効にするもの | 場所 |
| --- | --- | --- |
| GitHub | 個人用アクセス トークン | [Managing your personal access tokens](https://docs.github.com/en/authentication/keeping-your-account-and-data-secure/managing-your-personal-access-tokens) |
| Google Cloud | API キー、サービス アカウント キー | [Manage API keys](https://docs.cloud.google.com/docs/authentication/api-keys) · [Respond to compromised credentials](https://docs.cloud.google.com/docs/security/compromised-credentials) |
| AWS | IAM アクセスキー | [Manage access keys for IAM users](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_access-keys.html) |
| Stripe | シークレット キーと制限付きキー | [API keys](https://docs.stripe.com/keys) |
| Slack | ボット トークンとユーザー トークン | [auth.revoke](https://docs.slack.dev/reference/methods/auth.revoke/) |
| Anthropic | API キー | [API key best practices](https://support.claude.com/en/articles/9767949-api-key-best-practices-keeping-your-keys-safe-and-secure) |
| OpenAI | API キー | [Best practices for API key safety](https://help.openai.com/en/articles/5112595-best-practices-for-api-key-safety) |
| その他のサービス | あらゆるキー、トークン、パスワード | そのサービスのセキュリティ設定または API 設定。ドキュメントで「revoke」や「rotate」を検索してください。 |

## その後の対応

- 古い認証情報を、リポジトリ、ログ、設定の履歴から削除します。履歴を書き換えても安全にはなりません。安全にするには無効化が必要です。
- 漏えいしたキーを早期に検出できるよう、GitHub のシークレット スキャンなど、リポジトリのシークレット スキャンを有効にします。
- サンプルのアドレスが本番環境に届かないようにするチェックを追加します。[API クライアントと SDK の設定](https://example-petstore.com/ja/guides/api-base-url)をご覧ください。

キーを Git にもコミットしてしまった場合: [Git の履歴からシークレットを削除する](https://example-petstore.com/ja/guides/remove-secrets-from-git)

## 出典

- [Secrets Management Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html) OWASP
- [Secret scanning](https://docs.github.com/en/code-security/concepts/secret-security/secret-scanning) GitHub Docs