본문으로 건너뛰기
cccskills
무료GitHub에 공개한국어 소개

leaked-secrets

페이지의 HTML과 JavaScript, Git 기록에서 API 키와 비밀번호 등의 노출을 점검하고, 유출된 인증 정보 교체와 서버 이전, 재발 방지 조치를 정리합니다.

원문원문 설명 보기

Use when reviewing client-side JavaScript, HTML source, or git history for exposed credentials, API keys, or tokens.

thedaviddias/Front-End-Checklist
AI 평가90점/ 100설치 방법 보기

이럴 때 유용합니다

  • 브라우저 코드의 API 키 노출 점검
  • Git에 기록된 인증 정보 조사
  • 비밀 정보를 쓰는 작업의 서버 이전
  • 인증 정보 유출 예방

한국어 소개

할 수 있는 일

브라우저에 전달되는 HTML과 JavaScript, Git 기록에서 API 키, 토큰, 비밀번호, 개인 키, 연결 문자열 등의 노출을 점검합니다. 키 접두사나 예상치 못한 위치에 있는 인코딩 문자열을 단서로 유출이 의심되는 부분을 찾습니다. 인증 정보를 서버로 옮기는 방법과 서버를 통해 외부 API를 호출하도록 구조를 바꾸는 방법도 안내합니다.

이럴 때 유용합니다

프런트엔드 공개 전 점검이나 인증 정보를 실수로 커밋했는지 조사할 때 유용합니다. 노출된 부분을 수정하는 일과 함께 GitLeaks, TruffleHog, GitHub Secret Scanning을 통한 탐지와 커밋 전 검사 등 재발 방지 조치를 정리할 수 있습니다.

사용 예시

  • “이 페이지의 HTML과 JavaScript에 인증 정보가 노출되어 있는지 점검해 주세요.”
  • “Git 기록의 유출을 조사하고 서버 이전 방법과 재발 방지책을 정리해 주세요.”

주의 사항

브라우저로 전달되는 코드의 비밀 정보는 공개된 것으로 취급합니다. 발견한 인증 정보는 코드에서 삭제하는 데 그치지 않고 신속하게 교체해야 합니다. Next.js의 NEXT_PUBLIC_ 접두사가 붙은 변수에는 비밀 정보를 넣지 않도록 안내합니다.

이 소개문은 공개된 SKILL.md를 바탕으로 AI(OpenAI Codex)가 작성했습니다. 정확한 사양은 아래 원문을 확인하세요.

객관 평가

AI가 SKILL.md의 내용만을 근거로 4가지 관점에서 판정했습니다. 스타 수나 인기도는 판정에 넣지 않았습니다.

지시의 명확성언제 쓰고 무엇을 하는지 알 수 있는가
A양호HTML, JavaScript, Git 기록에서 인증 정보 노출을 점검하는 용도를 명시합니다.
절차의 구체성절차·입출력·예시가 구체적으로 적혀 있는가
A양호키 접두사, git log -S 조사, 서버 이전과 구체적인 유출 위치 지적을 제시합니다.
안전성전송·삭제·명령 실행 등을 명시하고 있는가
B일부 부족유출된 인증 정보를 즉시 교체하도록 지시하지만 교체 전 확인 절차는 명시하지 않습니다.
도입의 용이성필요한 도구나 API 키가 적고 적혀 있는가
A양호점검에 필수인 API 키나 유료 서비스는 지정하지 않으며 탐지 도구는 선택지로 제시합니다.

총점은 각 항목을 A=25점, B=15점, C=5점으로 더한 값입니다. 2026년 10월 23일 기준으로 AI(OpenAI Codex)가 판정했습니다. 참고용이므로 설치 전에 원문도 확인해 주세요.

평가가 다르다고 생각되면 재검토를 요청하기

어느 항목이 왜 다르다고 생각하는지 적어 주세요. 로그인은 필요 없습니다. SKILL.md와 대조해 평가를 다시 만들고 이곳에 반영합니다.

이 양식은 reCAPTCHA로 보호되며 Google 개인정보처리방침 및 서비스 약관이 적용됩니다.

포함된 파일(2)

  • SKILL.md2.3 KB
  • references/rule.md5.7 KB

SKILL.md(원문)

설치하기 전에 에이전트에게 전달되는 지시 내용을 확인할 수 있습니다.

Leaked Environment Variables

An API key embedded in client-side JavaScript gives anyone with a browser devtools tab full access to your cloud services, databases, or third-party APIs — leading to data breaches, unexpected charges, or account takeover.

Quick Reference

  • Any secret in client-side JavaScript is publicly readable — treat all front-end code as public
  • In Next.js, only variables prefixed with NEXT_PUBLIC_ are exposed to the browser — never put secrets in these
  • Common leak locations: .env files committed to git, hardcoded API keys in JS bundles, service account credentials in window.__INITIAL_STATE__
  • Use git log -S 'keyword' to search git history for previously committed secrets; rotate any found secrets immediately
  • Tools: GitLeaks, TruffleHog, GitHub Secret Scanning can detect leaks in repositories automatically

Check

Scan the page HTML source and JavaScript bundles for patterns that look like secrets: API keys, tokens, passwords, private keys, connection strings, or credentials. Check for common patterns like sk_, pk_, AIza, ghp_, AKIA, and base64-encoded strings in unusual contexts.

Fix

Move all secrets server-side. Replace client-exposed credentials with server-side API proxies. Rotate any leaked credentials immediately — treat them as compromised. Implement git-secrets or a pre-commit hook to prevent future leaks.

Explain

Explain why client-side JavaScript is public code, how secrets leak into bundles, what the impact of a leaked API key is, and how to architect applications to keep secrets server-side.

Code Review

Review server config, headers, forms, and integration points related to Leaked Environment Variables. Flag exact responses, cookies, or browser behaviors that violate the rule, and verify them against the effective production-like response.

For full implementation details, code examples, and framework-specific guidance, see references/rule.md.

Rule page: https://frontendchecklist.io/rules/security/leaked-secrets

리뷰

아직 리뷰가 없습니다. 사용해 본 소감을 남겨 주세요.

댓글

로그인 없이 쓸 수 있습니다. 사용 후기, 질문, 작동하지 않은 환경 등을 편하게 남겨 주세요.

아직 댓글이 없습니다. 첫 댓글을 남겨 보세요.

보내면 바로 공개됩니다. 이메일 주소나 전화번호 같은 개인 정보는 쓰지 마세요. URL은 2개까지입니다.

0 / 1,000자

이 양식은 reCAPTCHA로 보호되며 Google 개인정보처리방침 및 서비스 약관이 적용됩니다.

같은 저장소의 스킬

404-page

무료

Create and review custom 404 pages that help visitors recover from broken or moved links through search and navigation. Check the rendered page and HTTP response so missing content returns a proper 404 status.

한국어 요약은 준비 중입니다. 영어 요약을 표시하고 있습니다.

  • Creating a helpful custom 404 page
  • Adding search and navigation for broken links
  • Checking missing pages that return HTTP 200
thedaviddias/Front-End-Checklist7.5만2026년 10월 6일 업데이트

about-page

무료

Audit or create a dedicated About page that explains a website’s purpose and identifies its people or organization. Review the rendered output and supporting information, including expertise and contact details, to find gaps.

한국어 요약은 준비 중입니다. 영어 요약을 표시하고 있습니다.

  • Reviewing a website’s About page
  • Creating a page about the organization and its mission
  • Checking how operator information appears in rendered output
thedaviddias/Front-End-Checklist7.5만2026년 10월 6일 업데이트

accessibility-testing

무료

Review and add automated accessibility checks for components, pages, and continuous integration workflows. Use axe-based tools to detect structural and attribute issues, while identifying checks that still need keyboard or screen reader testing.

한국어 요약은 준비 중입니다. 영어 요약을 표시하고 있습니다.

  • Review accessibility coverage for shared components
  • Add accessibility checks to page flow tests
  • Run accessibility tests in CI
thedaviddias/Front-End-Checklist7.5만2026년 10월 6일 업데이트

accessible-authentication

무료

Review sign-in, registration, multi-factor authentication, and account recovery for accessibility barriers. Find blocked paste, difficult code entry, and inaccessible backup methods, then suggest authentication paths that support password managers, autofill, or device approval.

한국어 요약은 준비 중입니다. 영어 요약을 표시하고 있습니다.

  • Reviewing accessibility across the sign-in process
  • Checking verification code paste and autofill
  • Inspecting password reset and account recovery
thedaviddias/Front-End-Checklist7.5만2026년 10월 6일 업데이트

accessible-notifications

무료

Review form errors, success messages, and live updates so screen reader users receive important notifications. Check the HTML delivered to the browser, announcement settings, display duration, and dismissal controls, then identify specific elements that need changes.

한국어 요약은 준비 중입니다. 영어 요약을 표시하고 있습니다.

  • Reviewing form error announcements
  • Checking success message display duration
  • Auditing live update notifications
thedaviddias/Front-End-Checklist7.5만2026년 10월 6일 업데이트

accessible-tables

무료

Review HTML tables so screen reader users can understand how headers and data relate. Check header markup, table descriptions, and merged cells, then identify specific fixes and ways to verify them.

한국어 요약은 준비 중입니다. 영어 요약을 표시하고 있습니다.

  • Reviewing tables for screen reader accessibility
  • Checking header relationships in tables with merged cells
  • Reviewing table patterns in a design system
thedaviddias/Front-End-Checklist7.5만2026년 10월 6일 업데이트

thedaviddias의 스킬 모두 보기

이 스킬의 문제 신고