AWS・OpenAI・Anthropic・GitHub・Stripe・Slackなど主要サービスのAPIキーやトークン、 JWT、秘密鍵、DB接続文字列の混入を自動検出し、その場で伏字化できます。
コード・ログを入力
0文字入力中
検出カテゴリ（0件検出）
マスキング方式
マスキング結果
上部にコードやログを入力すると、ここに結果が表示されます。
ADVICE
本ツールは既知のパターンに基づく参考的な検出です。検出0件でも、貼り付ける前にもう一度目視で確認する習慣をおすすめします。
本ツールの検出は既知のパターンに基づく参考的なものであり、すべての機密情報を100%検出できるわけではありません。 「検出なし」の場合も、AIへ貼り付ける前に必ずご自身の目で内容を確認してください。
コードをAIに貼る前になぜAPIキーのチェックが必要なのか
ChatGPTやClaudeにエラーの原因調査やコードレビューを依頼する際、設定ファイルやログをそのまま貼り付けてしまうと、AWSのアクセスキーやOpenAI・StripeのAPIキー、DBの接続文字列などの認証情報が意図せずAIサービス側に送信されてしまうことがあります。一度外部に送信・共有された認証情報は、たとえ会話ログが削除されても完全に無かったことにはできないため、貼り付ける前のチェックが重要です。
本ツールは、コードやログを貼り付けるだけでAWS・Google・OpenAI・Anthropic・GitHub・GitLab・Stripe・Slack・npmのAPIキーやトークン、JWT、秘密鍵ブロック、DB接続文字列などを自動検出し、重大度（高・中・低）とあわせて一覧表示します。検出結果はそのままワンクリックで伏字化でき、行番号も表示されるため、元のファイル内での該当箇所も特定しやすくなっています。
検出はあくまで既知のパターンに基づく参考的なものです。「検出なし」であっても機密情報が含まれていないことを保証するものではないため、最終的な確認はご自身の目で行ってください。
こんなシーンで便利です
エラーログをAIに読み込ませて原因調査を依頼する時
アプリケーションのエラーログや環境変数のダンプをAIに貼り付けて解析を依頼する前に、APIキーや接続文字列が紛れ込んでいないかを確認できます。
設定ファイルやコードのレビューをAIに依頼する時
.env ファイルや設定ファイルの内容をコードレビューのためにAIへ共有する前に、認証情報が含まれていないかをチェックする用途に使えます。
OSSやブログ用にコードスニペットを公開する前の最終確認に
GitHubへの公開やブログ記事への掲載を予定しているコードスニペットに、開発中に使ったテスト用のAPIキーが残っていないかを確認する場面でも活用できます。
チームメンバーへのSlack共有やチャットでの質問時に
社内のSlackやチャットツールでコードやログを共有する前に、認証情報が含まれていないかをセルフチェックする習慣づけにも役立ちます。
使い方は簡単 4ステップ
- テキストエリアに、AIへ貼り付ける予定のコードやログを入力または貼り付けます。
- 検出したいカテゴリ（AWS・OpenAI・GitHubなど）をON/OFFで選択します。
- 検出結果一覧で、重大度・種類・行番号・伏字化されたプレビューを確認します。
- マスキング方式を選び、伏字化されたコードをコピーしてAIへの入力欄に貼り付けます。
※入力・検出・マスキングのすべての処理はブラウザ内で完結し、外部のサーバーへ送信されることはありません。
ご利用時の注意点
- 本ツールの検出は既知のAPIキー・トークン形式に基づく参考的なものであり、すべての機密情報を100%検出できることを保証するものではありません。
- 独自形式の社内トークンや、パターンに一致しない書き方の認証情報は検出できない場合があります。「検出なし」の場合も必ず目視で確認してください。
- 実際に外部へ公開・共有されてしまった可能性があるAPIキーは、マスキングだけで済ませず、該当サービス側での失効・再発行もあわせて検討してください。
- 完全無料・安全：入力したコードやログは一切外部へ送信されない、通信が発生しないブラウザ完結型を採用しています。
対応する主なAPIキー・トークン形式と重大度の目安
本ツールが自動検出する主なカテゴリと、判定に用いているパターン・重大度の目安です。
| カテゴリ | 検出パターンの例 | 重大度の目安 |
|---|---|---|
| AWSキー | AKIA から始まる20文字の英数字 | 高 |
| Google APIキー | AIza から始まる39文字の文字列 | 高 |
| OpenAI APIキー | sk- から始まる文字列 | 高 |
| Anthropic APIキー | sk-ant- から始まる文字列 | 高 |
| GitHubトークン | ghp_ / github_pat_ から始まる文字列 | 高 |
| GitLabトークン | glpat- から始まる文字列 | 高 |
| Stripeキー | sk_live_ / pk_live_ から始まる文字列 | 高 |
| 秘密鍵ブロック | -----BEGIN PRIVATE KEY----- を含む範囲 | 高 |
| DB接続文字列 | postgres://user:pass@host 形式など | 高 |
| Slackトークン・Webhook | xoxb- など／hooks.slack.com のURL | 中 |
| npmトークン | npm_ から始まる文字列 | 中 |
| JWT | eyJ から始まるドット区切り3分割の文字列 | 中 |
| 汎用パターン | password=／secret=／token= などに続く値 | 低 |
※重大度はあくまで一般的な傾向による目安です。汎用パターンは誤検出が起こりやすいため、内容を確認したうえでマスキングの要否を判断してください。
AIにコードを貼り付ける前のシークレット管理で気をつけたいこと
ChatGPTやClaudeにコード・ログを貼り付ける前に知っておきたい、APIキー漏えい対策の考え方を解説します。
結論：貼り付ける前のスキャンが「うっかり漏えい」を防ぐ最後の砦になる
APIキーの漏えいの多くは、悪意ある攻撃ではなく「うっかりコピーした範囲に認証情報が含まれていた」という単純なミスから発生します。
エラー調査やコードレビューでAIに貼り付ける文章は、コピー範囲が広くなりがちで、環境変数や設定ファイルの一部がそのまま含まれてしまうことも珍しくありません。
貼り付ける前にスキャンする一手間を習慣化することが、うっかり漏えいを防ぐ実務上もっとも効果的な対策のひとつです。
本番用キーとテスト用キーを区別して優先度をつける
APIキーには、本番環境で使われる本番用キーと、開発・検証用のテスト用キーがあり、漏えい時の影響度は大きく異なります。
Stripeの sk_live_ とsk_test_のように、サービスによってはキーの文字列自体に本番/テストの区別が含まれていることもあるため、検出結果を確認する際は、まず本番用キーが含まれていないかを優先的にチェックするのが実務的な進め方です。
検出されたキーは「隠す」だけでなく「失効」も検討する
本ツールのマスキング機能は、あくまでAIへの貼り付け時にキーが見えないようにする応急処置です。
すでにそのキーが記載されたファイルがGit履歴やチャットのログなど他の場所にも残っている可能性がある場合は、マスキングだけで安心せず、発行元のサービス管理画面からキーを失効・再発行することを検討しましょう。
汎用パターンの誤検出とどう付き合うか
password=やtoken=のような一般的なキーワードに続く値を検出する汎用パターンは、実際の機密情報だけでなくサンプルコードのダミー値にも反応することがあります。
重大度が「低」の検出については、既知サービスの固有形式に一致する「高・中」の検出と区別したうえで、内容を確認してからマスキングするかどうかを判断すると、過剰なマスキングを避けつつ実務で使いやすくなります。
よくある失敗と対策
「検出なし」の表示を見て、機密情報が一切ないと思い込んでしまう
既知のパターンに一致する項目がなかったために安心してしまい、独自形式の社内トークンやパターンに一致しない書き方の認証情報が残ったままAIに貼り付けてしまう失敗です。
💡 対策・解決策を見る▼
テスト用キーだから問題ないと判断し、確認せずそのまま貼り付ける
「テスト環境用のキーだから漏れても大丈夫」と自己判断し、実際には本番環境と共通の権限を持つキーだったというケースに気づかず貼り付けてしまう失敗です。
💡 対策・解決策を見る▼
汎用パターンの誤検出が多いことに苛立ち、検出自体をOFFにしてしまう
汎用パターンによる誤検出が多いことに煩わしさを感じ、カテゴリごとOFFにした結果、本来検出したかった機密情報まで見逃してしまう失敗です。
💡 対策・解決策を見る▼
マスキングして安心し、Gitの履歴に残ったままの実キーを放置する
AIへの貼り付け用にマスキングして満足してしまい、そのキーが記載されたファイル自体がGitのコミット履歴や別のチャットログに残っていることに気づかない失敗です。
💡 対策・解決策を見る▼
秘密鍵ブロックの一部だけをコピーし、検出漏れに気づかない
-----BEGIN PRIVATE KEY----- から始まる秘密鍵の途中だけを部分的にコピーしてしまい、開始・終了の目印が揃わず検出パターンに一致しないまま貼り付けてしまう失敗です。
💡 対策・解決策を見る▼
よくある質問（FAQ）
Q.このツールで「検出なし」と表示されれば、コードにAPIキーは含まれていないと考えて良いですか
A. いいえ、断定はできません。本ツールは既知のAPIキー・トークンの形式（正規表現パターン）に基づいて検出しており、独自形式の社内トークンや、パターンに一致しない書き方の認証情報までは検出できない場合があります。検出結果は参考情報とし、貼り付ける前に必ずご自身でも目視確認してください。
Q.入力したコードやログはサーバーに送信されますか
A. 送信されません。本ツールはすべての検出処理をブラウザ内のJavaScriptだけで完結させており、入力したコードやログが外部のサーバーやAPIに送信されることは一切ありません。実際のAPIキーを含むコードでも、通信を発生させずその場でチェックできます。
Q.どのようなAPIキー・トークンの形式に対応していますか
A. AWSのアクセスキー、Google APIキー、OpenAI・Anthropic（Claude）のAPIキー、GitHub・GitLabのトークン、Stripeのキー、Slackのトークン・Webhook URL、npmトークン、JWT、秘密鍵ブロック（-----BEGIN PRIVATE KEY-----など）、認証情報を含むデータベース接続文字列、および password/secret/token などのキーワードに続く値（汎用パターン）に対応しています。
Q.検出されたAPIキーはそのまま画面に表示されますか
A. 検出リストのプレビューには、常に先頭の数文字のみを残して残りを伏字にした状態で表示され、実際のキー全体がそのまま画面に表示されることはありません。マスキング結果の出力方式は別途「完全伏字」「ラベル表示」「一部表示」から選択できます。
Q.誤って検出されるケース（誤検出）はありますか
A. あります。特に password や token といった一般的なキーワードに続く値を検出する「汎用パターン」は、実際には機密情報ではないサンプルコードやダミー値にも反応することがあります。重大度の低い検出については、内容を確認したうえでマスキングするかどうかを判断してください。
Q.APIキーが混入していた場合、マスキングするだけで対応は十分ですか
A. 本ツールでのマスキングはAIへの貼り付け時の露出を防ぐための応急的な対応です。すでにコードやリポジトリに実際のキーが記載され、外部に公開・共有されてしまった可能性がある場合は、マスキングだけで済ませず、該当するサービス側でキーを失効・再発行することを強くおすすめします。
あなたの声で、
このツールをより鋭く。
「こんな機能が欲しい」「ここを直してほしい」といったご意見や、新しいツールのリクエストを募集しています。エンジニアが直接目を通し、開発の参考にさせていただきます。