Gitリポジトリはコードの宝庫ですが、時としてAPIキーやパスワードといった機密情報が誤ってコミットされてしまうことがあります。このような「シークレット」を自動で検出してくれるのが、静的解析ツールgitleaksです。コードの変更を監視し、定義済みのルールに合致する文字列を高速でスキャンしてくれます。

gitleaksは様々な環境で利用できます。お使いの環境に合わせてインストール方法を選びましょう。macOSやLinuxユーザーであれば、Homebrewを使うのが最も手軽です。

特定のバージョンに依存しない実行環境が欲しい場合は、Dockerを利用するのが便利です。以下のコマンドでgitleaksのDockerイメージを取得できます。

これでgitleaksを使う準備が整いました。

gitleaksにはいくつかのスキャン方法がありますが、最も基本的なのはdetectコマンドとhistoryコマンドです。まずは、現在の作業ディレクトリの状態をスキャンしてみましょう。

スキャンしたいGitリポジトリのルートディレクトリに移動し、以下のコマンドを実行します。-v (verbose) オプションを付けると、スキャンの進行状況が詳しく表示されます。

もし機密情報が見つかれば、検知された内容がリスト形式で出力されます。結果はJSON形式で、どのファイルのどの行で、どのルール（例：「AWS Access Key」）に違反したかが詳細にわかります。

次に、リポジトリの全コミット履歴をスキャンする方法です。過去に誤ってコミットされ、その後削除されたシークレットも発見できます。これにはhistoryコマンドを使います。

このコマンドは、リポジトリの最初から最新までの全コミットを一つずつチェックします。大規模なリポジトリでは時間がかかることがありますが、徹底的な監査には不可欠です。

スキャン結果はデフォルトで標準出力に表示されますが、-rまたは--report-pathオプションでファイルに保存することもできます。レポート形式はJSONがデフォルトですが、CSVやSARIF形式も指定可能です。

レポートには、検出されたシークレットの種類(Description)、ファイル名(File)、行番号(StartLine)、そして問題の文字列(Secret)が含まれます。この情報を元に、対象のキーを無効化し、リポジトリから該当のコミットを安全に削除するなどの対応を取る必要があります。

これでgitleaksの基本的な使い方はマスターです。定期的にスキャンを実行し、リポジトリの安全性を維持する習慣をつけましょう。