日本語English

秘密情報スキャナー（Secret Scanner）

コードや設定ファイルを貼る・ドロップするだけで、公開前に消すべき秘密情報の候補を行番号つきで一覧します。値は既定で伏せ字、*** に置き換えたコピーも作れます。あくまで補助ツールで、検出漏れがないことは保証しません。

端末内で処理・アップロードなし

ファイルや入力内容はお使いの端末（ブラウザ）の中だけで処理され、サーバーへは送信されません。

ファイルをドロップ（複数可）

または

テキスト・コード・.env・設定ファイル。ファイルは送信されません。貼り付け（Ctrl+V）にも対応
テキストを貼るかファイルを追加すると、ここに結果が表示されます。

使い方

  1. テキストを貼り付けるか、ファイル（複数可）をドロップ／「ファイルを選択」で追加します。「サンプルで試す」でも動作を確認できます。

  2. 検出結果が重要度順に、ファイル名・行・列・ルール名つきで表示されます。値は伏せ字です。

  3. 必要なら「値を表示」をオンにして中身を確認します（画面上だけで、レポートには含まれません）。

  4. 高エントロピー検出のしきい値を調整し、誤検出が多い場合は無効にします。

  5. 「CSV」「JSON」でレポートを保存、「伏せ字コピー」で検出値を *** に置換した内容を保存します。

できること

主要サービスのキー形式を網羅

AWS アクセスキー、GitHub / GitLab トークン、Slack トークンと Webhook、Stripe、Google API キー、OpenAI / Anthropic 形式のキー、JWT、PEM 形式の秘密鍵を、形式ごとの専用ルールで検出します。

代入・接続文字列も検出

password= や api_key: のような代入、postgres:// などのデータベース接続文字列に含まれるパスワードを検出します。${VAR} や <your-key> のような置き場所の記号は除外します。

エントロピーで未知の秘密も候補に

ランダムに見える 24 文字以上の文字列を、シャノンエントロピー（既定 4.2 bit/文字、16 進は 3.6）で候補にします。UUID や単語だけの文字列は除外します。しきい値は画面で変更できます。

値は伏せ字が既定

一覧もレポート（CSV / JSON）も伏せ字だけを出力します。画面上の「値を表示」は確認用で、保存物には影響しません。

伏せ字コピーを保存

検出した値だけを *** に置き換えたファイルを、1 件はそのまま、複数は ZIP でまとめて保存できます。他の内容は変更しません。

こんなときに

  • GitHub に push する前に、設定ファイルへ API キーが残っていないか確認したい
  • 障害調査のログや設定を社外に共有する前に、トークンやパスワードを伏せたい
  • .env や docker-compose.yml のサンプルに本物の値が混ざっていないか見たい
  • 生成 AI へ貼るコード片から認証情報を取り除きたい

対応状況

機能対応補足
テキスト貼り付け・複数ファイルの検査対応—
主要サービスのキー・秘密鍵・JWT の検出対応—
パスワード代入・DB 接続文字列の検出対応—
エントロピーによる未知の秘密の候補検出一部対応誤検出・検出漏れがあります
検出値を *** に置換したコピーの保存対応—
ZIP やバイナリの中身の検査非対応バイナリは読み飛ばします
Git 履歴の検査・秘密の失効（無効化）非対応—
検出された秘密が実際に有効かの確認非対応通信しないため確認しません

制限・注意事項

  • 補助ツールです。検出漏れがないことも、検出されたものがすべて秘密であることも保証しません。公開前には人の目でも確認してください。
  • 1 ファイル 5 MB まで、最大 200 ファイル、検出は最大 5,000 件までです。バイナリ（NUL を含むファイル）は対象外です。
  • 文字コードは UTF-8 として読みます。Shift_JIS などは文字化けして検出できないことがあります。
  • 一度でも公開した秘密は、値を消すだけでは不十分です。発行元で失効（ローテーション）してください。

プライバシーと安全性

貼り付けた内容やファイルはお使いの端末の中だけで検査され、サーバーへ送信・保存されることはありません。使用状況の記録にも内容やファイル名は含めません。

よくある質問

アップロードして大丈夫ですか？
検査はブラウザ内で完結し、内容は送信されません。通信が発生しない作りなので、機密性の高い設定ファイルにも使えます。
検出されなければ安全ですか？
いいえ。独自形式のキーや、ルールに合わない書き方は検出できません。補助として使い、公開前の目視確認や Git 履歴の検査も併用してください。
誤検出が多いときは？
高エントロピー検出をオフにするか、しきい値を上げてください。ハッシュ値やトークンに似たビルド ID が候補になることがあります。
GitHub に push してしまった秘密はどうすればよいですか？
履歴から消しても取得された可能性があるため、発行元でキーを失効して新しいものに差し替えるのが最優先です。
伏せ字コピーは元のファイルを書き換えますか？
いいえ。元のファイルは変更されず、*** に置換した内容を新しいファイルとして保存します。

関連ツール

暗号・ハッシュ計算（Crypto Studio）

テキストを入れるだけで SHA-256 や SHA-3 など 12 種類のハッシュ値を一度に表示。Webhook 署名の HMAC 照合、パスワードでのテキスト暗号化、鍵ペアの生成、bcrypt の作成と照合まで、送信なしで手元の端末だけで行えます。

パスワード生成・強度チェック（Password Studio）

開いた瞬間に 20 文字の強いパスワードを生成済み。記号の種類や除外する文字を細かく指定でき、覚えやすいパスフレーズにも切り替えられます。手持ちのパスワードの弱点チェックも、送信せずにこの端末の中だけで行います。

Share Safe・総合共有前チェッカー

ファイルを渡す前に、見えないところに残った個人情報・秘密情報を 1 ファイルずつ重大度つきで一覧し、消せるものは消した安全なコピーを作ります。作成後に再検査して、残ったリスクと手動での直し方も表示します。ファイルはアップロードされません。

最終更新: