はじめに

Claude Codeを使って開発していると、AIがコードを自動生成・コミットする場面が増えます。そのとき、うっかりAPIキーや認証トークンをコミットしてしまうリスクも上がります。「自分は気をつけているから大丈夫」と思っていても、AIがコンテキストから拾ったシークレットをコードに埋め込んでコミットするというケースは実際、起こらないとは絶対言えないですよね。

setting.jsonにdenyとして設定し、git操作は自分でやる、にする、もしくはaskにする、でもよいのですが、結局人間も同じようにミスをします。

そこで今回は自分を信じることなく笑、gitleaksを使ってコミット前にシークレットを自動検知・ブロックする仕組みを導入してみたので紹介します。

この記事で触れないこと

• CI/CDパイプライン（GitHub Actions等）への組み込み方法
• チーム全体への展開（.husky や lefthook 等のツール連携）

gitleaksとは

gitleaks（ギットリークス）は、Gitリポジトリ内のシークレット（APIキー・パスワード・トークンなど）を検出するオープンソースのセキュリティツールです。

主な特徴

• 正規表現 + エントロピー評価でシークレットを高精度に検出
• APIキー・OAuthトークン・AWSアクセスキーなど100種類以上のパターンをデフォルトで搭載
• git log の履歴全体、ステージング済みファイル、指定ディレクトリなど複数のスキャン対象に対応
• pre-commitフックへの組み込みが容易
• CI/CDとの統合も可能（GitHub Actions公式アクションあり）

エントロピー評価について

gitleaksは「文字列のランダム性（エントロピー）」も評価します。そのため、ダミー文字列やサンプル文字列は検出されません。

本物に近いランダムなトークンのみが検出されるため、誤検知を抑えながら実際のシークレット漏洩を防げます。

gitleaksをpre-commitフックで使う

gitleaksをpre-commitフックに組み込むことで、コミット前の段階でシークレットをブロックできるようになり、以下が実現できます。

• git pushやCI実行より前に止められる
• Gitの履歴にシークレットが残らない
• リモートリポジトリへの漏洩リスクをゼロにできる

また、git config --global core.hooksPath を使うことで、どのツール経由のコミットにもフックが発動してくれるようにできます。

セットアップ手順

私は仕事がWindowsなので、Windows環境で動作を確認しました。

環境

• OS: Windows 11
• Shell: PowerShell / Git Bash
• gitleaks: v8.30.1（Scoopでインストール）
• git global core.hooksPath: ~/.git-hooks

1. gitleaksのインストール

Scoopを使ってインストールします。
※他のインストールもあります。gitleaksのリポジトリをご参考ください。
※Scoopが未導入の場合は Scoop公式サイト を参照してください。

# !/bin/bash

# install
scoop install gitleaks

# 確認
gitleaks version

2. グローバルhooksディレクトリの作成

Gitのグローバル設定でhooksPathを指定します。これにより、全リポジトリ・全ツールからのコミットにフックが発動してくれるようになります。

# !/bin/bash

mkdir -p ~/.git-hooks

※PowerShellの場合は以下

New-Item -ItemType Directory -Force "$env:USERPROFILE\.git-hooks"

次に、gitのグローバル設定に登録します。

git config --global core.hooksPath ~/.git-hooks

設定を確認します。

git config --global core.hooksPath
# ~/.git-hooks が表示されればOK

3. pre-commitフックの作成

~/.git-hooks/pre-commit（拡張子なし）を以下の内容で作成します。

#!/bin/sh

gitleaks git --staged --redact --verbose
if [ $? -ne 0 ]; then
  echo ""
  echo "gitleaks: シークレットが検出されました。コミットをブロックします。"
  echo "誤検知の場合は .gitleaksignore または gitleaks.toml の allowlist を設定してください。"
  exit 1
fi

各オプションについて

• git --staged：ステージング済みの変更のみをスキャン
• --redact：検出されたシークレットをマスクして出力（ログへの漏洩防止）
• --verbose：どのファイルのどの行で検出されたかを詳細表示

4. 実行権限の付与

実行権限を付与します。

#!/bin/sh

chmod +x ~/.git-hooks/pre-commit

5. 動作確認

実際にAPIキーに近い文字列をファイルに書き込んでコミットしてみます。
ただし、gitleaksは「文字列のランダム性（エントロピー）」も評価します。そのため、ダミー文字列やサンプル文字列は検出されないので注意です（再掲）。

echo "GITHUB_TOKEN=ghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" > test.txt
git add test.txt
git commit -m "test"

※gitleaksによってシークレットが検出された場合は、コミットがブロックされ以下のようなメッセージが表示されます。

Finding:     GITHUB_TOKEN=ghp_[REDACTED]
Secret:      [REDACTED]
RuleID:      github-pat
Entropy:     3.58
File:        test.txt
Line:        1
Commit:      (staged)

gitleaks: シークレットが検出されました。コミットをブロックします。
誤検知の場合は .gitleaksignore または gitleaks.toml の allowlist を設定してください。

誤検知された場合の対応方法

方法1: 特定行を除外

シークレットを定義している該当行末に # gitleaks:allow を追記するだけです。

# 行末にコメントを追加
token=xxx  # gitleaks:allow

方法2: 特定ファイルを検知対象から除外

.gitleaksignore にファイルパスを記述します。

echo "path/to/file" >> .gitleaksignore

方法3: カスタムルール（プロジェクト単位）

リポジトリルートに gitleaks.toml を配置してルールを細かく制御できます。グローバルに適用したい場合は ~/.gitleaks.toml に配置します。

[allowlist]
  description = "グローバルな許可リスト"
  paths = [
    '''example1/''',
    '''example2/'''
  ]

おわりに

設定してみると、Claude Code経由のコミットにもフックが発動するのが確認でき、かなり安心感が増しました。

AIを使った開発が増えるほど、シークレット漏洩のリスクも増えます。gitleaksのようなコミット前の自動検知を入れておくことで、ヒューマンエラーとAIによる事故の両方をカバーできますので、ぜひ導入を検討してみてください。

それでは、また。

HTNCode