개발자 도구
•
~4분 소요
자주 발생하는 JSON 구문 오류 분석 및 수정: RFC 8259 표준 가이드 | GoToolstack
후행 쉼표(trailing comma), 작은따옴표, 따옴표 누락 키 오류를 해결하세요. BigInt 정수 정밀도 보존 및 안전한 데이터 포맷팅.
.env 보안 감사기 및 비밀 키 유출 탐지기
환경 설정 파일에서 유출된 시크릿 키, 취약한 패스워드, 문법 오류 검사.
사용 방법
1
텍스트 입력 또는 붙여넣기
입력 공간에 텍스트나 코드를 직접 붙여넣습니다.
2
변환 및 검사 적용
도구를 실행하여 텍스트를 포맷팅, 필터링 또는 분석합니다.
3
결과 복사
정리된 결과물을 클립보드에 바로 복사합니다.
개념 및 지식 허브
.env 보안 감사기: 하드코딩된 API 키 노출 및 취약점 정적 진단
.env 보안 감사기는 프로젝트 환경변수 설정 파일 내에 실수로 하드코딩된 클라우드 비밀키, 취약한 기본 비밀번호, 탈취 위험이 높은 공개 API 토큰을 정적 분석 규칙으로 정밀 감사하는 데브옵스 시큐리티 도구입니다. AWS 시크릿 키, 구글 서비스 계정 키, 깃허브 개인 액세스 토큰, JWT 시크릿, 데이터베이스 루트 계정의 취약성을 상용 배포 전에 신속히 식별하여 데이터 유출 사고를 방지합니다.
실제 백엔드 저장소 커밋 전 보안 점검 상황에서 개발자가 작성한 AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
DB_PASSWORD=123456
JWT_SECRET=secret 내용을 입력창에 붙여넣고 보안 감사 실행을 누르면, 탐지 엔진이 AWS 시크릿 액세스 키 하드코딩 감지(치명적 High), 사전 공격에 취약한 기본 DB 비밀번호(경고 Medium), 취약한 단어 기반 JWT 시크릿(경고 Medium) 등 총 3건의 보안 결함을 0.01초 내로 보고하여 즉시 조치를 유도합니다.
모든 정적 패턴 분석과 정규식 검사는 외부 원격 보안 서버와의 통신 없이 사용자의 웹 브라우저 로컬 자바스크립트 샌드박스 내부에서만 실행됩니다. 사내 시스템의 실제 프로덕션 인프라 접속 키나 마스터 패스워드가 외부 네트워크 패킷으로 유출될 위험이 원천 차단되어 안전한 개발 감사 체계를 제공합니다.
핵심 아키텍처 및 수학 공식
취약점 평가 = ScanRules(rawEnv, [AWSPattern, WeakPasswordPattern, PrivateKeyPattern])
엔터프라이즈 환경변수 텍스트를 줄 단위로 분해한 후 알려진 40여 종의 클라우드 서비스 API 키 엔트로피 및 정규식 지문을 대조하여 위험 등급을 매깁니다.
모범 사례 및 필수 지침
- Git Pre-commit Hook과 연동하여 자동 차단: 개발자가 터미널에서 git commit 명령을 실행할 때 .env 파일이나 민감 키가 포함되어 있으면 커밋을 강제 중단시키는 훅을 구성하세요.
- 클라우드 시크릿 관리 서비스(AWS Secrets Manager, Vault) 도입: 프로덕션 환경에서는 평문 텍스트 .env 대신 클라우드 보안 금고 서비스를 통해 런타임에 동적으로 키를 주입받으세요.
- 취약한 기본 패스워드 패턴 차단: admin, 123456, password, root 등 사전 무차별 대입 공격에 1초 만에 뚫리는 약한 비밀번호를 데이터베이스 계정에 절대 사용하지 마세요.
- 키 유출 감지 즉시 키 폐기 및 재발급(Rotation): 실수로 깃허브 공개 저장소에 API 키가 1초라도 노출되었다면 즉시 해당 키를 클라우드 콘솔에서 삭제하고 새 키를 발급받으세요.
자주 묻는 질문 (FAQ)
실제 유효한 API 키인지 서버에 직접 접속해서 검증해 보나요?
아닙니다. 본 도구는 보안을 위해 실제 외부 클라우드 서비스로 API 요청을 보내지 않으며, 오직 문자열의 길이, 특수 접두사, 엔트로피 패턴을 분석하는 안전한 순수 정적 분석(Static Analysis) 방식만을 사용합니다.
AWS 외에 다른 클라우드 서비스(GCP, Azure, OpenAI) 키도 감지되나요?
네, AWS 액세스 키(AKIA...), 구글 AI 및 클라우드 API 키(AIza...), OpenAI 토큰(sk-...), 슬랙 봇 토큰(xoxb-...), 깃허브 토큰(ghp_...) 등 주요 글로벌 서비스 키 패턴을 포괄적으로 지원합니다.
감사 결과 위험 등급(High, Medium, Low)의 판정 기준은 무엇인가요?
금전적 손실이나 인프라 탈취로 직결되는 클라우드 마스터 키 노출은 High, 취약한 패스워드나 단순 시크릿은 Medium, 공개되어도 무방한 설정값의 사소한 문법 오류는 Low로 분류됩니다.
감사를 위해 붙여넣은 비밀번호나 API 키가 서버 로그에 남나요?
전혀 남지 않습니다. 모든 정규식 매칭 알고리즘은 100% 클라이언트 로컬 메모리 안에서만 동작하므로 극비 운영 시크릿도 안전하게 검사할 수 있습니다.