API 키 교체 전략

장기 API 키는 보안 부채입니다. 해법은 교체 - 누구도 눈치채지 못할 정도로 매끄럽게.

교체 이유

• 캐시된 env var의 노트북 도난
• 로깅 시스템이 키 우발 캡처
• 계약자 퇴사
• 라이브러리 버전 침해

"긴급히 키 교체"가 유일한 대응이라면 이미 패배.

2-키 패턴

자격 증명당 항상 2개 유효 키 유지:

1. 새 키 생성

2. SECONDARY로 설정

3. 컨슈머 설정 롤아웃

4. 유예 기간 후 구 키 비활성

5. 새 키를 PRIMARY로 승격

Vault로 자동화

Hashicorp Vault, AWS Secrets Manager, GCP Secret Manager. 단기 자격 증명 발행 가능.

누출 조기 감지

• GitHub Secret Scanning
• TruffleHog/gitleaks (pre-commit)
• 제공자 측 이상 감지

교체 시간 목표

성숙한 팀은 15분 이내. 분기별 드릴.

로깅 위생

전체 키를 절대 로깅하지 말고 마지막 4자만.

서비스별 키

소비 서비스/환경당 하나. 침해 시 피해 반경 작음.