MisaNeco KeyScan

キーやパスワードが見つかったら

1. まず、そのキーを無効にする（作り直す）：ファイルから消すだけでは足りません。すでにコピーされているかもしれないからです。各サービスの管理画面で、キーを削除・再発行します。
2. 新しいキーに入れ替える：使っているプログラムや設定を新しいキーに変えます。
3. ファイルから消す：キーは「.env」などの別ファイルに分け、共有やGitの対象から外します（.gitignore に追加）。
4. 過去の履歴も確かめる：GitHubなどに一度でも上げた場合、履歴に残っています。無効にしたうえで、履歴の削除も検討します。
5. 不正利用がないか確かめる：サービスの利用履歴・請求額を確認し、身に覚えのない利用があればサービスの窓口に連絡します。

※このツールは、よく知られたキーの形を探すものです。すべての漏洩を見つけられるわけではありません。「見つからなかった＝安全」ではない点にご注意ください。

If a key or password is found

1. Revoke (rotate) the key first. Deleting it from the file is not enough — it may already have been copied. Delete or regenerate it in the service's dashboard.
2. Switch to the new key in your programs and settings.
3. Remove it from the file. Keep secrets in a separate file such as .env and exclude it from sharing and Git (.gitignore).
4. Check history. If it was ever pushed to GitHub etc., it remains in the history. After revoking, consider cleaning the history.
5. Check for misuse. Review usage logs and bills; contact the service if you see activity you don't recognize.

This tool looks for well-known key formats. It cannot find every leak — "nothing found" does not guarantee safety.

使い方

1. このファイル（KeyScan.html）をダブルクリックして、ブラウザ（Chrome・Edge・Safari・Firefox）で開きます。インターネットは不要です。
2. 調べたいフォルダを、点線の枠にドラッグします（「フォルダを選ぶ」でもOK）。
3. APIキー・アクセストークン・秘密鍵・パスワードらしき文字が見つかると、ファイル名と行番号を一覧にします。
4. 「危険」は実際に使えるキーの形をしているもの、「注意」はパスワードらしき書き方です。中身を開いて確かめてください。

探せるもの：AWS・Google（APIキー）・GitHub・OpenAI・Anthropic・Stripe・Slack・SendGrid・Discord（Webhook）・秘密鍵（PEM・OpenSSH）・JWT・パスワード入りのURL・「password=」などの書き方

ファイルの中身は、このパソコンのブラウザの中だけで読みます。外部への送信はしません（通信を使う部品は入っていません）。

How to use

1. Double-click KeyScan.html to open it in a browser (Chrome, Edge, Safari, Firefox). No internet needed.
2. Drag a folder onto the dashed box (or use "Choose folder").
3. Anything that looks like an API key, access token, private key or password is listed with file name and line number.
4. "High" means it matches a real key format; "Check" means it looks like a password assignment. Open the file and check.

Detects: AWS, Google API keys, GitHub, OpenAI, Anthropic, Stripe, Slack, SendGrid, Discord webhooks, private keys (PEM/OpenSSH), JWTs, URLs with passwords, and "password=" style assignments.

Files are read only inside your browser on this computer. Nothing is sent anywhere (the tool contains no network code).