OPERATIONS

보안 권장사항

API 키는 불리자 계정과 연결된 비밀이에요. 노출되면 한도 안에서 누구나 호출할 수 있고, 한+미 구독 사용자의 키라면 사용량이 빠르게 차오를 수 있어요. 안전하게 관리하는 방법을 정리했어요.

키 보관

키는 절대 코드에 직접 박지 말고 환경변수로 관리해요. 클라우드 secret manager (AWS Secrets Manager, GCP Secret Manager, Vercel Environment Variables 등) 가 가장 안전해요.

bash

# .env (로컬 개발용 — 절대 깃에 커밋하지 마세요)
RICHGO_API_KEY=rfk_live_52ba3737fe9f6b7c294d9ca5fd003e4c9319620cb6780d1f

text

# .gitignore 에 반드시 추가
.env
.env.local
.env.*.local
**/claude_desktop_config.json

브라우저 JavaScript 에서 키를 그대로 노출하면 모든 사용자가 키를 볼 수 있어요. 항상 자신의 백엔드 프록시를 통해 호출하세요. 백엔드에서 환경변수로 키를 읽고, 클라이언트에는 결과만 전달.

클라이언트 노출은 절대 안 돼요

Next.js 의 NEXT_PUBLIC_ 접두사가 붙은 환경변수에 절대 키를 넣지 마세요. 브라우저 번들에 포함되어 GitHub leak 보다도 빠르게 노출돼요.

프로덕션 키는 분기마다 한 번씩 새로 발급 + 폐기하는 게 좋아요. 절차:

깃허브에 실수로 커밋했거나, 로그에 평문이 찍혔거나, 클라이언트에 노출됐다면 즉시 대시보드에서 해당 키를 폐기하고 새 키를 발급받으세요. 폐기는 다음 요청부터 즉시 적용돼요.

rfk_live_ prefix 는 자동 검출 대상이에요

불리자 키는 GitHub secret scanning 에 등록될 예정이라, 공개 저장소에 커밋되면 자동으로 알림을 받게 돼요. 그래도 노출 자체는 일어나므로 폐기 + 재발급은 필수예요.

개발(dev), 스테이징(stg), 프로덕션(prod) 키를 분리하는 걸 권장해요. 라벨에 환경을 명시해서 대시보드에서 구별이 쉽게 해두세요.

프로덕션 키가 노출돼도 스테이징·개발 환경은 그대로 운영할 수 있어서 사고 대응 시간이 줄어요.

/my/api-keys 대시보드에서 14일 사용량 차트를 정기적으로 확인하세요. 갑자기 호출량이 급증했다면 키 노출 가능성이 있어요.

다음 단계