🔐 환경 변수 유출 위험도 계산기

.env 파일을 git 저장소에 커밋한 적이 있다 (히스토리에 남아있음)

.gitignore에 .env 파일이 등록되어 있지 않다

비밀키·토큰을 슬랙, 이메일, 메신저로 공유한 적이 있다

키·토큰을 정기적으로 교체(rotation)하는 정책이 없다

CI/CD 설정 파일에 비밀값을 평문으로 저장한다

Vault, AWS Secrets Manager 등 전용 관리 도구를 쓰지 않는다

환경 변수 유출 위험도, 왜 점수로 확인해야 할까?

.env 파일은 API 키, DB 비밀번호, 토큰 등 민감한 정보를 담고 있지만, 관리가 느슨해지기 쉬운 영역입니다. git 커밋 히스토리에 실수로 남거나, 슬랙으로 공유되거나, 평문 그대로 CI/CD에 저장되는 경우가 흔합니다. 이 계산기는 6가지 체크리스트로 팀의 .env 관리 습관을 점수화하여 위험 수준을 진단합니다.

점수는 100점 만점으로, git 커밋 이력(25점)과 .gitignore 미등록(20점)이 가장 큰 비중을 차지합니다. 한 번이라도 git 히스토리에 비밀키가 남았다면 rebase나 삭제만으로는 완전히 지워지지 않으므로, 키 자체를 즉시 재발급하는 것이 안전합니다. 슬랙·이메일 공유(20점) 역시 로그가 영구적으로 남기 때문에 위험도가 높게 책정되어 있습니다.

점수가 40점을 넘는다면 Vault, AWS Secrets Manager, Doppler 같은 전용 도구 도입을 검토하고, 정기적인 키 교체 정책을 수립하는 것이 좋습니다. 체크리스트를 6개월마다 다시 점검하면 팀의 보안 습관이 개선되는 흐름을 확인할 수 있습니다.

자주 묻는 질문

git 히스토리에서 .env를 삭제하면 안전한가요?

단순 삭제나 rebase만으로는 이미 유출된 키가 무효화되지 않습니다. 히스토리 정리와 별개로 해당 키·토큰은 반드시 재발급해야 안전합니다.

점수가 낮으면 완전히 안전한가요?

이 점수는 대표적인 위험 요인만 반영한 참고 지표입니다. 0점이라도 방화벽, 접근 권한 등 다른 보안 요소는 별도로 점검해야 합니다.

작은 팀도 Secret Manager가 필요할까요?

팀 규모가 작아도 키 유출 시 피해는 동일합니다. 무료 티어를 제공하는 도구도 많아 초기 도입 비용 부담이 크지 않습니다.

환경 변수 유출 위험도, 왜 점수로 확인해야 할까?

자주 묻는 질문

같은 카테고리 도구