KeyRotateKeyRotate — API キーを更新し、使われていた場所すべてに反映
Mac と Windows で使える、開発者向けのキーマネージャ。Mac ではキーを Touch ID で保護された macOS キーチェーンに、Windows では Windows Hello で保護し Windows アカウントに紐づけて暗号化して保存します。キーを置き換えると、それを使っていた .env・設定ファイル・アプリをすべて更新します。古いキーを黙って失効させることはありません。さらに、AI の会話ログ、リポジトリの履歴、Web ルートなど、あるべきでない場所にキーが現れたら知らせます。
月額サブスクリプション・macOS 14 以降・Windows 10／11 ダウンロード ↓
今この瞬間も流出している API キー
28,650,0002025年に公開 GitHub へ送信された、あらゆる種類のシークレット
AI のキーだけで約 25 秒に 1 件のペースで、1 年で 81% 増えています。流出したキーを取り消すことはできませんが、KeyRotate なら新しいキーへの置き換えと、それを使っていたファイルの更新がすぐに済みます。
- 39M+ 2024 年に GitHub 全体（公開・非公開リポジトリの合計）で流出したシークレット。GitHub 自身の集計です。 GitHub
- 64% 2022 年に有効と確認されたシークレットのうち、2026 年 1 月の再テストでもまだ使えたもの。流出したキーの多くは置き換えられないままです。 GitGuardian
- 24,008 2025 年に公開 GitHub 上の MCP 設定ファイルで見つかったシークレット。うち 2,117 件は有効な認証情報でした。 GitGuardian
- 2,863 公開 Web ページに埋め込まれた有効な Google API キーのうち、プロジェクトで Gemini を有効にしたことで知らないうちに Gemini へアクセスできるようになったもの。 Truffle Security
- 1,748 1,000 万の Web サイトから見つかった、クラウドや決済を含む 14 サービスの有効なキー。多くは数か月から数年間公開されたままでした。 スタンフォード大学・UC デービス校（CCS ’26）
最新の流出ニュース：KeyRotate が利用者に警告したインシデントと対応方法 →
2 つのカウンタは推定値です。GitGuardian は 2025年に公開 GitHub へ送信されたシークレットを、AI サービス分で 1,275,105 件、全体で 2,865 万件と集計しています。カウンタはそのペースを 1 月 1 日から当てはめたもので、実際の数はこれを上回る可能性があります。 出典：The State of Secrets Sprawl 2026
できること
ベンダが対応していれば自動ローテーション
Cloudflare・Linode・Twilio・Perplexity・Fireworks・Resend は API で後継キーを発行できます。KeyRotate は新しいキーを要求し、保存する前に動作を確認し、保存後に再確認します。失敗すれば以前のキーに戻します。
それ以外は正直に
Anthropic・GitHub・Okta・Atlassian など多くのベンダにはキーを作成する API がありません。これはベンダ側の方針であり、機能不足ではありません。KeyRotate は理由とともにその旨を示し、発行ページへ直接リンクします。新しいキーを貼り付けると、置き換える前に検証します。
使われていたファイルをすべて更新
.env・wp-config.php・JSON（Claude Code の settings.json を含む）・YAML・TOML、または独自パターン。変更箇所を提示し、確認した部分のみを更新します。書き込みはアトミックで、権限を保持し、ワンクリックで戻せるバックアップを残します。
ホスティング・CI へ直接書き込み、パスワードマネージャとは双方向に同期
ローテーションしたキーを GitHub Actions のシークレット、Netlify・Vercel の環境変数、Fly.io のシークレット、Supabase Edge Function のシークレット、Cloudflare Workers のシークレットへ直接書き込み、書き込み後はデプロイフックや GitHub ワークフローで再デプロイできます。シークレットストアとパスワードマネージャとは双方向です。「読み込む ▸ シークレットストアまたはパスワードマネージャから…」で 1Password（Connect サーバ、またはヘルパスクリプト経由の op）、Bitwarden・Vaultwarden（bw serve）、HashiCorp Vault、Doppler、Infisical、AWS Secrets Manager にサインインし、見つかったキーをストアとのつながりを保ったまま取り込みます。KeyRotate でローテーションすればストアに新しい値が入り、ストア側で変更されれば 15 分以内に KeyRotate がベンダで確認したうえで取り込み、そのキーを使うすべての .env・設定ファイル・サーバ・アプリを書き換えます（op の場合は 1Password のサービスアカウントが必要です）。ストアはマスターコピーを保管しますが、.env ファイルまでは更新しません。KeyRotate は更新します。ローテーションの前には、すべての書き込み先に接続できるかを確認します。
LINE・Telegram・Discord などのボットトークン
LINE のチャネルアクセストークンは自動でローテーションします。チャネルのアサーション署名キーで署名して 30 日間有効な新しいトークンを取得し、古いトークンは期限まで使えるまま残します。失効させることはありません。WhatsApp Business、Telegram・Discord・Viber のボット、Chatwork のトークンは各サービスで有効性を確認し、使えなくなれば警告します。Brave Search のキーでは今月のクエリ枠の残りを、Apify のトークンでは今サイクルの利用額をプランの上限と並べて表示します。
他の値は読みません
KeyRotate は指定された変数名に一致する行のみを置き換えます。同じファイルにある他のシークレットを解析・表示・送信することはありません。本番の .env に向けても安全な理由がこれです。
アカウントをワンクリックで切り替え
同じベンダで複数のサブスクリプションや組織をお持ちですか。キーをアカウントにまとめ、「仕事」「個人」「顧客」などのプロファイルを作れば、すべてのファイルをメニューバーから一度に切り替えられます。
キーが止まる前に警告
ベンダが拒否するようになったキー、公開されている場合の実際の有効期限（Anthropic・OpenAI・Mistral・Fireworks）、報告されている場合の使用量やレート制限を通知します。ntfy や Gotify でスマートフォンにも送れます。あるベンダのアカウントのキーがすべて同時に止まったら、アカウント自体が無効になったおそれがあると伝えるので、役に立たないキーの交換より先にメールを確認できます。
他人にキーを使われたら警告
使用状況ウォッチは 15 分ごとに、保存済みの管理者キーで Anthropic・OpenAI・OpenRouter に各キーの使われ方を問い合わせます。保存していないキーの使用、いつもの傾向を大きく超える使用、使ったことのないモデル、ローテーション後も使われる古いキーを検知すると、「今すぐローテーション」ボタン付きで警告します。使ったことのないフロンティアモデルへ突然切り替わったキーは、盗んだ人が真っ先にすることなので、重大として知らせます。Amazon Bedrock では CloudTrail により、自分のものではないアドレスからの呼び出しも分かります。さらに、OpenAI が組織のユーザに警告したり遮断したりすると、KeyRotate は Enfour のリレー経由でそれを知り、アプリのユーザでなければ警告します。
流出のサインをひとつの警報画面に
ガードは、キーが他人の手に渡ったおそれを示すサインを深刻な順にまとめ、それぞれに「今すぐローテーション」「キーを開く」「非表示」のいずれかの操作を 1 つ添えます。情報源は AI ツールのログ、Enfour の署名付き侵害アドバイザリ、使用状況ウォッチ、毎日のキー確認（ベンダは流出が報告されたキーを失効させるので、突然の拒否は手がかりになります）、リークスキャン、リモートリポジトリです。サイドバーのバッジが警告の数を示し、ウインドウを閉じても KeyRotate はメニューバーから見張り続けます。
関係のある侵害を見分け、閉じていても知らせる
Enfour の署名付き侵害アドバイザリを、保有しているキーとアカウントをもとに Mac 上で順位付けします（流出・可能性大・可能性あり・可能性低）。関係のある侵害が先に表示され、何を使っているかの情報は Mac の外に出ません。Apple のプッシュ通知を有効にすれば、KeyRotate を閉じていても新しいアドバイザリが届き、ガード自体が止まったとき（KeyRotate の終了・応答なし・クラッシュ）も警告します。
流出したメールのパスワードとアドレスも検出
設定ファイルの SMTP・IMAP のパスワード、パスワードを含むメールサーバのアドレス、SendGrid・Mailgun・Brevo・Postmark・Resend のキーも、API キーと同じように AI のログ、リポジトリ、Web ルートで探し、ガードで警告します。持っている人はあなたとしてメールを送れるからです。Web プロジェクトでは、サイトがそのまま公開しているメールアドレスも一覧にし、多数のアドレスを含むファイルがダウンロードできれば警報を出します。自分のアドレスと Have I Been Pwned のキーを登録すれば、KeyRotate が毎日確認し、新しい侵害に含まれたら知らせます。
AI の会話ログからキーを見つける
Claude Code や Codex などのコーディングエージェントに貼り付けたキー、実行したコマンドが表示したキーは AI プロバイダに送られ、ツールのログに平文で残ります。認証情報を盗むコードが真っ先に探す場所です。KeyRotate は Claude Code・Codex・Gemini CLI・Qwen Code・OpenCode・Goose・Cline・Roo Code のログの新しい行を 1 時間ごとに読み、保存済みのキーを値の完全一致で、その他のシークレットを Gitleaks のルールで見つけます。使用中のキーが見つかれば、ローテーションされるまで毎日知らせます。残すのは場所と日時、マスクしたプレビューだけで、シークレットそのものは残しません。
リポジトリを見張る — すべてのブランチとタグまで
GitHub・Gitea／Forgejo（Codeberg を含む）・GitLab・Bitbucket のアカウントを追加してリポジトリを選ぶか、任意の HTTPS の git アドレスを指定します。KeyRotate は git を内蔵しているのでインストール不要で、各リポジトリの全履歴を Mac にコピーしてリークスキャンで検索し、以後は毎日、変更分だけを取得します。GitHub ではシークレットスキャンのアラートも読み、GitHub が見つけたシークレットがまだ有効かどうかを示します。ローテーションしても履歴は消えないので、古いキーも失効させてください。
Web サーバが何を配ってしまうかを判断
Web プロジェクトを追加します（~/Sites・/Library/WebServer/Documents・MAMP の htdocs・Herd へのショートカット付き）。Pancake Stack や FrontierStack から「KeyRotate で監視…」でサイトを送ることもできます。見つかったものは Web サーバがそのファイルをどう扱うかで判断します。Web ルートにある .env・JSON・SQL ダンプ・バックアップ・ログは誰でもダウンロードでき、スクリプトやページの中のキーは訪問者全員のブラウザに届きます。PHP の中のキーは公開されませんが、コピー・バックアップ・リポジトリのたびに一緒に持ち運ばれます。Web プロジェクトは毎日再スキャンします。
プロジェクトのフォルダをドロップするだけ
.env や PHP の設定ファイル、またはプロジェクトのフォルダごと KeyRotate にドラッグ。キーを見つけ、いくつのファイルにあっても 1 件として取り込み、各ファイルをターゲットにするので、最初のローテーションから全ファイルが書き換わります。.env.example などのサンプルには書き込みません。
ローテーションから漏れる .env を見つける
フォルダをスキャンするたびに、KeyRotate がまだ更新していない .env ファイルを一覧にします。「キーを読み込んでターゲットにする…」でキーを取り込み、各ファイルをターゲットにすれば、次のローテーションでそのファイルも書き換わります。「古いキーを更新…」は古いコピーを現在のキーで上書きします。変えるのはその行だけで、バックアップも残します。
テストキーはテストキーのまま
Stripe・Square・Paddle・PAY.JP・KOMOJU・Mollie・Razorpay・Toss Payments・PayPal・Braintree・Adyen のテストモード／サンドボックスのキーは専用の項目に入り、本番の項目はテストキーを受け付けません。PAYJP_SECRET_KEY=sk_test_… は Stripe ではなく PAY.JP のキーとして認識します。
AWS のあらゆる形に対応
~/.aws/credentials のプロファイルはそれぞれ別のキーとして扱い、ローテーションではそのプロファイルだけを書き換えます。GovCloud と中国のキーもそれぞれのパーティションで確認・ローテーションし、Amazon Bedrock API キー（ABSK…）も管理できます。数時間で失効する一時キーは、理由を添えて除外します。
すでにお使いのツールと連携
FrontierStack
一度ペアリングすれば、新しいキーをピン留めした署名付き接続で FrontierStack に渡します。権限は資格情報のみ — キーの設定と状態の読み取りだけで、それ以外は行えません。FrontierStack の Telegram と LINE のアラートチャンネルも同じボットトークンとチャネルアクセストークンを使うので、ここでローテーションしたトークンが次のアラートからそのまま使われます。
Claude Code と Codex
アカウントごとに設定プロファイルを保持し、起動コマンドをコピーできます。Claude Code 自身のログインやキーチェーン項目には触れません。
OpenClaw とエージェントランタイム
各ランタイムが実際に読み取る環境変数を書き込みます。ローテーションプール用のリスト形式にも対応します。
古いキーを失効させない理由
キーが 1 か所にあることはまれです。ローテーションと同時に失効させると、忘れていた cron ジョブやステージングサーバ、同僚のノート PC が止まります。KeyRotate は以前のキーを有効なまま残し、把握している場所をすべて更新したうえで、他で使われていないと確認できてから失効を促します。ベンダの API が対応していれば（OpenAI・Anthropic・OpenRouter・Mistral・Fireworks・Linode・AWS IAM・Paddle）、そのあとキーの画面から、確認のうえワンクリックで古いキーを ID によって失効させられます。
設計からプライベート
アカウント登録もテレメトリも同期サーバもありません。シークレットの値は macOS キーチェーンの項目です。それ以外に KeyRotate が保持するのは、各キーのプラットフォームと使用ファイルの一覧、見張るよう指定したリポジトリのコピー、そして場所と日時とマスクしたプレビューだけを記録したスキャン結果です。シークレットそのものは記録しません。ネットワーク通信は、選んだベンダと git ホスト、設定した場合の通知サーバ、Enfour の署名付きアドバイザリの取得に限られ、キーに関する情報は一切送りません。アプリ外のファイルへのアクセスはフォルダ単位でユーザが許可し、macOS のセキュリティスコープ付きブックマークとしてのみ記憶されます。
KeyRotate for Windows
Windows 10／11 向けの同じアプリです。対応ベンダ、ローテーション、ファイル更新、流出スキャン、アカウントとプロファイルは Mac 版と同じです。キーは 1 つずつ Windows のデータ保護（DPAPI）でお使いの Windows アカウント向けに暗号化されるため、ファイルを別の PC やアカウントにコピーしても読めません。キーを表示するときは Windows Hello で確認します。メニューバーの代わりにシステムトレイに常駐します。データは %APPDATA%\KeyRotate に保存され、別の PC へは暗号化バックアップで移します。
Windows 版にないもの：FrontierStack・Pancake Stack との連携、iPhone／Apple Watch コンパニオン、VibeProxy（いずれも Mac 用アプリ）。CLIProxyAPI は両方で使えます。
ダウンロード
KeyRotate for Mac
macOS 14 以降。Mac App Store で販売・アップデートし、アプリ内で始める月額サブスクリプションです。
またはこちらからダウンロードし、このサイトで購読することもできます。月額 ¥200（または US$1.99）で、Mac と Windows PC を合わせて 3 台まで使えます。この版は自動でアップデートされます。
KeyRotate for Windows
Windows 10／11（64 ビットの Intel/AMD または Arm）。このサイトで購入する月額サブスクリプションで、月額 ¥200（または US$1.99）、PC 3 台まで使えます。
…
どちらのシステムでも、サブスクリプションが失効してもすべてのキーは表示・コピーできます。停止するのはローテーション、ファイル更新、切り替えだけです。自分の認証情報から締め出すキーマネージャなら、ない方がましだからです。