入力前に伏せるもの
個人名、メール、電話番号、住所、会社の内部資料、顧客名、契約条件、請求情報、APIキー、GitHub token、SSH鍵、.env、ログは、必要がなければ伏せます。
相談と実装を分ける
ChatGPTには方針相談、Codexにはファイル修正や確認を頼むなど、役割を分けると入力内容を絞れます。どちらにも実値のSecretsは貼りません。
安全な言い換え
顧客名は顧客A、会社名はexample社、認証情報はSecrets登録済み、環境値は環境変数で読む、という形にします。
渡す前に外すものの一覧
作業を任せるとき、実際の値が混ざっていないかを毎回確認してください。気づいた時点で取り消せないものが多いためです。
- 認証情報：パスワード、APIキー、アクセストークン、秘密鍵
- 接続情報：データベース、FTP、サーバーのアドレスと認証
- 確認用のタグ：Search ConsoleやAdSenseの確認コード
- 個人情報：氏名、連絡先、顧客名、取引先名
- 未公開の情報：まだ出していない価格、計画、告知
これらは作業の指示に必要ありません。必要になる場面があるとしたら、その作業自体を外部に任せるべきでないということです。
入れてしまったときの対処
気づいた時点で、上から順に実行してください。
- その値を無効にする：パスワードは変更、APIキーは再発行。削除より先にこれです。
- 影響範囲を確認する：同じ値を他のサービスでも使っていないか。
- 会話や履歴を削除する：ただし、消したから外部の記録まで消えるとは限りません。
- 公開ファイルに残っていないか確認する：作業の途中でHTMLやコードに書き込まれていることがあります。
- 組織のルールに従って報告する：業務で扱う情報なら、自己判断で伏せないでください。
4は見落とされやすい経路です。会話から消しても、生成されたファイルに残っていれば公開され続けます。公開前に必ず検索して確認してください。
添付ファイルの確認
CSV、ログ、スクリーンショット、HTML、バックアップを添付する前に、メール、電話、住所、管理画面URL、キーやトークンが写っていないか確認します。
関連ページ
確認した公式情報
このページは公式ページではありません。最新仕様、install方法、料金、使用上限は必ず公式情報で確認してください。
FAQ
Codexに本物のAPIキーを貼ってもいいですか？
貼りません。必要な場合でも実値は伏せ、環境変数やSecretsに入っている前提だけを伝えます。
private repoならSecretsを置いても安全ですか？
private repoでも安全とは決めません。権限、履歴、Actionsログ、バックアップ、連携アプリまで確認が必要です。
すでに貼ってしまったら削除だけで十分ですか？
削除だけで十分とは限りません。作業を止め、関係者確認、再発行やローテーション、履歴やログの確認を行います。
記事内に例を出すときはどうしますか？
実在しそうな値は出さず、dummy-valueやexample-nameのような無効な表現にします。
Codex usage・security・sandbox・config.toml 関連ページ
急上昇語を、使用量、安全確認、設定、GitHub、公開前チェックへ分けて整理した関連ページです。
- ChatGPTユーザー向けCodex用語整理｜usage・security・sandbox・config.tomlとはChatGPTユーザーがCodexを使う前に迷いやすいusage、security、sandbox、config.toml、CLI、app、GitHubの違いを整理します。