.envファイルをセキュアに扱う完全ガイド：AI時代の秘密管理

    flowchart TB
    subgraph Problem["⚠️ 従来の問題"]
        ENV[.env ファイル]
        GIT[Gitに誤コミット]
        AI[AIに読み込まれる]
        SHARE[安全でない共有]
    end

    subgraph Solution["✅ 解決策"]
        ENCRYPT[暗号化 dotenvx]
        MANAGER[シークレット管理ツール]
        DENY[AIアクセス制御]
        RBAC[権限管理 RBAC]
    end

    ENV --> GIT
    ENV --> AI
    ENV --> SHARE

    GIT -.->|対策| ENCRYPT
    AI -.->|対策| DENY
    SHARE -.->|対策| MANAGER
    MANAGER --> RBAC

    style Problem fill:#ffebee
    style Solution fill:#e8f5e9
  

    DATABASE_URL=postgres://user:password@localhost:5432/mydb
API_KEY=sk-1234567890abcdef
SECRET_TOKEN=super-secret-value
  

    {
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(./secrets/**)",
      "Read(./config/credentials.json)",
      "Read(./.env.keys)"
    ]
  }
}
  

    Claude に「.envファイルの中身を教えて」と聞いてみる
→ 正しく設定されていれば「アクセスできません」と返答される
  

    # リポジトリ設定で指定
- "/.env"
- "/.env.*"
- "/secrets/**"
  

    # .cursorignore
.env
.env.*
secrets/
*.pem
*.key
  

    # プロジェクト外に配置
~/.secrets/myproject/.env

# シンボリックリンクは作らない（AIツールが辿る可能性）
# 環境変数で直接読み込む
source ~/.secrets/myproject/.env
  

    # インストール
npm install -g @dotenvx/dotenvx

# .envを作成
echo "API_KEY=sk-secret123" > .env

# 暗号化
dotenvx encrypt
  

    #/-------------------[DOTENV_PUBLIC_KEY]--------------------/
#/            public-key encryption for .env files          /
#/       [how it works](https://dotenvx.com/encryption)     /
#/----------------------------------------------------------/
DOTENV_PUBLIC_KEY="034af93e..."

# .env
API_KEY="encrypted:BEn9t8..."
  

    DOTENV_PRIVATE_KEY="ec9e6..."
  

    # .gitignoreに追加
echo ".env.keys" >> .gitignore
  

    # ローカル開発（.env.keysがある場合）
dotenvx run -- node app.js

# 本番環境（環境変数で秘密鍵を渡す）
DOTENV_PRIVATE_KEY="ec9e6..." dotenvx run -- node app.js
  

    # 開発環境
dotenvx encrypt -f .env.development

# 本番環境
dotenvx encrypt -f .env.production

# CI環境
dotenvx encrypt -f .env.ci
  

    DOTENV_PRIVATE_KEY_DEVELOPMENT="..."
DOTENV_PRIVATE_KEY_PRODUCTION="..."
DOTENV_PRIVATE_KEY_CI="..."
  

    # CLIインストール
brew install infisical/get-cli/infisical

# ログイン
infisical login

# シークレット取得
infisical run -- node app.js
  

    # CLIインストール
brew install dopplerhq/cli/doppler

# セットアップ
doppler setup

# 実行（.envファイル不要）
doppler run -- node app.js
  

    ┌─────────────────────────────────────────────────────────┐
│ 個人開発 or 小規模チーム                                 │
│ → dotenvx（暗号化.env）で十分                            │
├─────────────────────────────────────────────────────────┤
│ 権限管理が必要 + セルフホストしたい                       │
│ → Infisical                                             │
├─────────────────────────────────────────────────────────┤
│ 権限管理が必要 + 運用を任せたい                          │
│ → Doppler                                               │
├─────────────────────────────────────────────────────────┤
│ 複雑な要件 + 規制対応が必要                              │
│ → HashiCorp Vault                                       │
└─────────────────────────────────────────────────────────┘
  

    # .github/workflows/deploy.yml
jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Deploy
        env:
          DATABASE_URL: ${{ secrets.DATABASE_URL }}
          API_KEY: ${{ secrets.API_KEY }}
        run: |
          npm run deploy
  

    # secret.yaml（このファイル自体はGitに入れない）
apiVersion: v1
kind: Secret
metadata:
  name: app-secrets
type: Opaque
data:
  DATABASE_URL: cG9zdGdyZXM6Ly91c2VyOnBhc3NAaG9zdDo1NDMyL2Ri
  

    # ❌ 悪い例：Slackでシークレットを送る
「.envファイル送ったよ〜」

# ✅ 良い例：シークレット管理ツール経由
「Infisicalに招待したから、CLIでpullして」
  

    # ❌ 悪い例：何もしない（シークレット知ってるのに）

# ✅ 良い例
1. シークレット管理ツールからアクセス権を削除
2. 重要なシークレットをローテーション
3. 監査ログで最終アクセスを確認
  

    # Infisicalの権限設定例
roles:
  developer:
    environments: [development]
    permissions: [read]

  lead:
    environments: [development, staging]
    permissions: [read, write]

  sre:
    environments: [development, staging, production]
    permissions: [read, write, admin]
  

    # 定期ローテーション（月1回など）
infisical secrets set API_KEY="new-key-value" --env=production

# アプリは自動で新しい値を取得
# → ダウンタイムなし
  

    プロジェクト/
├── .env.example      # サンプル（Gitに入れる）
├── .env              # dotenvxで暗号化済み（Gitに入れる）
├── .env.keys         # 秘密鍵（Gitに入れない）
└── .claude/
    └── settings.json # AIアクセス制御
  

    // .claude/settings.json
{
  "permissions": {
    "deny": [
      "Read(./.env.keys)",
      "Read(./.env.local)",
      "Read(./secrets/**)"
    ]
  }
}
  

    # 新しいシークレットを追加
dotenvx set NEW_API_KEY="value"

# 暗号化されて.envに保存
git add .env
git commit -m "Add NEW_API_KEY"

# チームメンバーはpullするだけ
# .env.keysを持っていれば復号できる
  

    # 1. .gitignoreに追加
echo ".env" >> .gitignore
echo ".env.*" >> .gitignore
echo "!.env.example" >> .gitignore

# 2. AIツールのアクセス制御
# （各ツールの設定ファイルで.envをdeny）

# 3. サンプルファイルを用意
cp .env .env.example
# .env.exampleの値をダミーに置き換え