팀원에게 API 키와 시크릿을 안전하게 전달하는 법

개발을 하다 보면 팀원에게 API 키, 시크릿 키, 데이터베이스 비밀번호, 서버 접속 정보 등을 전달해야 하는 상황이 자주 발생합니다. 문제는 이런 민감한 정보를 어떻게 안전하게 공유할 것인가입니다.

위험한 공유 방식

먼저 절대 해서는 안 되는 방법들을 살펴보겠습니다. 놀랍게도 많은 개발팀이 여전히 이런 방식을 사용하고 있습니다.

1. Git 저장소에 커밋하기

.env 파일을 Git에 커밋하는 것은 가장 흔하면서도 가장 위험한 실수입니다.

# 이렇게 하면 절대 안 됩니다
git add .env
git commit -m "환경 변수 추가"
git push origin main

한번 Git 히스토리에 올라간 시크릿은 git rm으로 삭제해도 히스토리에 남아있습니다. 공개 저장소라면 봇이 수 초 내에 이를 감지합니다.

2. Slack/Discord에 붙여넣기

메신저에 API 키를 그대로 붙여넣는 것도 매우 위험합니다.

• 채널에 접근 권한이 있는 모든 사람이 볼 수 있습니다
• 메시지 검색으로 나중에 찾아낼 수 있습니다
• 직원이 퇴사해도 메시지는 남아있습니다
• Slack의 경우 워크스페이스 관리자가 모든 메시지를 볼 수 있습니다

3. 이메일로 전송

이메일은 기본적으로 암호화되지 않습니다. 메일 서버를 경유하는 동안 가로채질 수 있고, 받는 사람의 메일함에 영구적으로 남게 됩니다.

API 키 유출의 실제 피해

API 키 유출은 단순한 보안 사고가 아닙니다. 실질적인 금전적 피해로 이어집니다.

AWS 키 유출 사례

사례	피해 규모
개인 개발자 AWS 키 노출	하룻밤에 $6,000 청구
스타트업 GitHub 공개 저장소	3일간 $50,000 이상 청구
기업 내부 위키 유출	수백만 달러 데이터 유출 사고

AWS, GCP, Azure 같은 클라우드 서비스의 키가 유출되면, 공격자는 수 분 내에 대규모 리소스를 생성하여 암호화폐 채굴 등에 악용합니다.

기타 피해

• 결제 API 키 유출 -> 부정 결제 발생
• 이메일 API 키 유출 -> 스팸 메일 대량 발송
• 데이터베이스 접속 정보 유출 -> 고객 데이터 탈취

안전한 API 키 공유 방법

방법 1: LOCK.PUB 비밀 메모 (즉시 공유)

팀원에게 바로 키를 전달해야 할 때 가장 실용적인 방법입니다.

워크플로우:

1. LOCK.PUB에서 비밀 메모를 생성합니다
2. API 키와 필요한 정보를 작성합니다
3. 비밀번호를 설정하고, 만료 시간을 짧게 지정합니다 (예: 1시간)
4. 링크를 Slack으로, 비밀번호를 DM으로 별도 전달합니다

# 비밀 메모 내용 예시
AWS_ACCESS_KEY_ID=AKIA...
AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI...
AWS_REGION=ap-northeast-2

참고: 이 키는 staging 환경 전용입니다.
프로덕션 키는 별도로 요청하세요.

장점:

• 만료 시간이 지나면 자동 삭제됩니다
• 비밀번호를 알아야만 볼 수 있습니다
• 서버에 암호화되어 저장됩니다
• Slack 히스토리에 키 원문이 남지 않습니다

방법 2: 시크릿 관리 도구 (팀 전체 관리)

팀 규모가 커지면 전문 시크릿 관리 도구를 도입해야 합니다.

도구	특징	적합한 팀
HashiCorp Vault	가장 강력한 시크릿 관리	대규모 엔터프라이즈
AWS Secrets Manager	AWS 생태계 통합	AWS 중심 인프라
1Password Teams	개발자 친화적 UI	스타트업, 중소 팀
Doppler	환경 변수 자동 동기화	DevOps 중심 팀

방법 3: 환경 변수 관리 (.env.example 패턴)

프로젝트에 .env.example 파일을 포함시키는 것은 표준 관행입니다.

# .env.example (Git에 커밋 O)
DATABASE_URL=
API_KEY=
SECRET_KEY=
STRIPE_SECRET=

# .env (Git에 커밋 X)
DATABASE_URL=postgresql://user:pass@host:5432/db
API_KEY=sk-abc123...
SECRET_KEY=mysecret...
STRIPE_SECRET=sk_live_...

.gitignore에 .env를 반드시 추가하세요.

# .gitignore
.env
.env.local
.env.production

시크릿 관리 모범 사례

1. 키 로테이션 정기적으로 실행

API 키는 정기적으로 교체해야 합니다. 키가 유출되었을 때 피해를 최소화할 수 있습니다.

키 유형	권장 로테이션 주기
프로덕션 API 키	90일
데이터베이스 비밀번호	60일
서비스 토큰	30일
개발/테스트 키	퇴사자 발생 시 즉시

2. 환경별 키 분리

개발, 스테이징, 프로덕션 환경마다 별도의 키를 사용하세요.

# 좋은 예
DEV_API_KEY=sk-dev-xxx
STAGING_API_KEY=sk-staging-xxx
PROD_API_KEY=sk-prod-xxx

# 나쁜 예 - 모든 환경에서 같은 키 사용
API_KEY=sk-same-key-for-all

3. 최소 권한 원칙

각 API 키에 필요한 최소한의 권한만 부여하세요.

• 읽기 전용 작업에는 읽기 전용 키를 사용
• 특정 서비스에만 접근할 수 있는 키를 발급
• 관리자 키는 최소한의 인원만 접근 가능하게 제한

4. 유출 감지 자동화

GitHub Secret Scanning, GitGuardian, TruffleHog 같은 도구를 활용하여 코드 저장소에 시크릿이 커밋되는 것을 자동으로 감지하세요.

# pre-commit hook으로 시크릿 검사 추가
# .pre-commit-config.yaml
repos:
  - repo: https://github.com/Yelp/detect-secrets
    hooks:
      - id: detect-secrets

LOCK.PUB을 활용한 빠른 공유 워크플로우

개발 현장에서 가장 빈번하게 일어나는 시나리오별 워크플로우를 정리합니다.

신규 팀원 온보딩

새로운 개발자가 합류했을 때, 필요한 환경 변수를 한 번에 전달합니다.

1. 비밀 메모에 모든 환경 변수를 정리합니다
2. 만료 시간을 24시간으로 설정합니다
3. 링크와 비밀번호를 전달합니다
4. 팀원이 확인하면 메모는 자동 만료됩니다

외부 파트너에게 API 키 전달

외부 업체에 API 키를 공유할 때는 더욱 신중해야 합니다.

1. 해당 파트너만을 위한 별도 키를 발급합니다
2. 비밀 메모로 전달하되, 만료 시간을 짧게 설정합니다
3. 파트너가 키를 자체 시크릿 관리 도구에 등록하도록 안내합니다
4. 사용이 끝나면 키를 폐기합니다

장애 대응 시 긴급 키 공유

서버 장애 상황에서 다른 팀원에게 긴급하게 접속 정보를 전달해야 할 때.

1. 비밀 메모를 만들고, 만료 시간을 1시간으로 설정합니다
2. 전화로 비밀번호를 알려주고, 링크를 메신저로 전달합니다
3. 장애 해결 후 해당 키를 로테이션합니다

마무리

API 키와 시크릿 관리는 개발 보안의 기본 중 기본입니다. Slack에 키를 붙여넣거나 이메일로 보내는 습관은 당장은 편하지만, 한 번의 유출로 수백만 원의 피해가 발생할 수 있습니다.

지금 당장 팀원에게 키를 전달해야 한다면, 비밀 메모를 활용해보세요.

비밀 메모 만들기 ->