ネット点検ナビ

分野別ガイド

秘密情報の伏せ字と検出の点検ガイド

.env の値や JSON の秘密項目、ログの中のメールアドレスを伏せ字にする道具と、リンク内の認証トークン、バックアップ名らしいファイル、環境ごとの .env の差分を見つける道具です。 秘密情報の伏せ字と検出に分類した6件の点検ツールの内容と出典をまとめました。出典は6の発行元の公表ページ8件です。

  • 6点検ツール
  • 8出典
  • 0出典から掲載の値

秘密情報の伏せ字と検出の点検ツール

一覧で見る

各点検で調べられること

各点検の内容の要約と、登録している出典の件数です(各点検の定義データから)。

秘密情報の伏せ字と検出の点検一覧
点検内容出典
.env の値を伏せてキー一覧にする.env ファイルの中身を貼り付けると、キー名だけの一覧、値を *** に伏せた全文、値をダミーに置き換えた全文のどれかを作ります。複数行の値、引用符、コメントアウトされた設定にも…1 件
JSON の秘密項目の伏せ字JSON を貼り付けると、password・token・secret・api_key・connectionString など秘密情報らしい項目名の値を *** などに置き換えた J…2 件
バックアップ名らしいファイルの検出ファイル名やパスの一覧を貼り付けると、.bak・.old・末尾の ~・Copy of・圧縮アーカイブなど、OWASP が挙げるバックアップや旧版の命名パターンに当たるものを一覧にし…1 件
リンク内の認証トークン検出貼り付けたリンクの ? 以降と # 以降を調べ、access_token・api_key・password など認証情報らしい名前のパラメータと、長い乱数のような値を一覧にして、値…2 件
ログ内メールアドレスの伏せ字ログやエラー文を貼り付けると、メールアドレスらしい文字列を見つけて a***@example.com の形の伏せ字に置き換えます。ドメインも伏せる設定、取りこぼしの可能性がある「@…1 件
設定ファイルの環境別差分検出staging と production など 2 つの .env を貼り付けると、片方にしかないキーと、値が違うキーを一覧にします。値は伏せ字にもできます。Docker Comp…1 件

各点検で解説している項目

各点検のページでは、次の項目を解説しています。

根拠にしている出典

この分野では、ツールごとに別々の公表ページを出典にしています(複数のツールで共通の出典はありません)。

www.rfc-editor.org(3 件)

cheatsheetseries.owasp.org(1 件)

cwe.mitre.org(1 件)

docs.docker.com(1 件)

github.com(1 件)

wstg.owasp.org(1 件)

出典から掲載している値

この分野のツールには、公的な出典から取り込んだ固定値の登録がありません(入力された数値だけで計算するツールです)。

関係する場面と分野

この分野のツールが入っている場面:

同じ発行元の出典を使うほかの分野:

ご利用上の注意

本サイトは、個別の事情についての判断や助言をするものではありません。点検の結果は入力した内容をもとにした機械的な確認で、設定の正しさや安全を保証するものではありません。伏せ字や検出には漏れがありえるため、共有や公開の前に結果をご自身でも確かめてください。各点検が示す注意は次のとおりです。

  • .env の値を伏せてキー一覧にする: 伏せ字にしても安全とは限りません。共有前に結果を必ず目で確認してください。
  • JSON の秘密項目の伏せ字: このツールの判定は項目名の推定です。出力に秘密が残っていないか、共有の前に必ず目で確かめてください。
  • バックアップ名らしいファイルの検出: この点検は名前のパターンだけです。実際の公開状態は、外部からの取得可否を別の方法で確認してください。
  • リンク内の認証トークン検出: 一覧にない名前や形の値は見つかりません。見つからなくても、安全だと判断しないでください。
  • ログ内メールアドレスの伏せ字: この道具の結果は共有前の補助です。メールアドレスの取りこぼしや、他の個人情報の残りは、利用者が目で確認してください。
  • 設定ファイルの環境別差分検出: 本物のパスワードやトークンを含む .env を貼り付けるときは、値の表示を伏せ字にしたままにしてください。

全点検ツールの注意は ご利用上の注意 にまとめています。