안녕하세요! 엠바스입니다. 오늘은 바이브 코딩을 할 때 가장 자주 실수하는 부분, API 키와 비밀번호 관리를 쉬운 말로 정리해 드립니다. 결론부터 말씀드리면 키와 비밀번호는 코드 안에 직접 적지 않는 것이 원칙이고, 대신 별도의 설정 파일에 넣어 두는 습관만 들이면 대부분의 사고를 막을 수 있습니다.
AI에게 코드를 만들어 달라고 하면 편의상 키 값을 코드 중간에 바로 적어 주는 경우가 흔합니다. 당장은 작동하니 문제가 없어 보이는데, 이 코드를 다른 사람과 공유하거나 공개 저장소에 올리는 순간 그 키는 더 이상 비밀이 아니게 됩니다.
왜 코드에 그대로 두면 안 되나요
코드는 여러 사람 손을 거치기 마련입니다. 화면을 함께 고치는 동료, 외주로 참여하는 개발자, 코드를 백업해 주는 서비스까지 모두 그 코드를 들여다볼 수 있는 위치에 있습니다. 키가 코드 안에 그대로 있으면 이 모든 경로가 곧 유출 경로가 되는 셈이라서, 숨기려는 의도와 상관없이 노출될 가능성이 늘어납니다. 한 번 새어 나간 키는 되돌리기 어렵습니다. 누군가 그 키로 요금이 나가는 서비스를 대신 사용하거나 저장된 데이터를 가져가 버릴 수도 있는데, 정작 문제를 알아차리는 시점은 대부분 청구서가 이상하게 나온 다음입니다.
안전하게 쓰는 습관, 이렇게
가장 먼저 할 일은 키와 비밀번호를 코드와 분리된 별도 파일에 모아 두는 것입니다. 보통 닷env라고 부르는 설정 파일에 값을 적어 두고, 코드에서는 이 파일을 불러와 쓰기만 하면 됩니다. AI에게 요청할 때도 처음부터 키는 설정 파일에서 불러오게 만들어 달라고 조건을 함께 붙여 보세요.
두 번째는 이 설정 파일을 절대 공유 저장소에 함께 올리지 않는 것입니다. 저장소를 쓰고 있다면 무시 목록에 이 파일 이름을 등록해 두면, 실수로 함께 올라가는 사고를 기계적으로 막을 수 있습니다. 세 번째는 서비스마다 키를 따로 발급받아 쓰는 습관인데, 한 키를 여러 곳에 돌려쓰면 하나가 새어 나갔을 때 피해 범위가 통째로 커집니다. 네 번째로, 키를 발급하는 화면에는 대부분 권한 범위를 좁히는 옵션이 있습니다. 읽기만 필요한 곳에는 읽기 권한만 허용하는 식으로 범위를 줄여 두면, 키가 새어 나가더라도 피해가 그 범위 안으로 제한됩니다.
이미 코드에 적어 버렸다면
이미 공개된 곳에 키를 올려 버렸다면 가장 먼저 할 일은 수정이 아니라 그 키를 폐기하고 새로 발급받는 것입니다. 코드에서 값을 지운다고 예전 기록까지 함께 사라지지는 않기 때문에, 지우는 순서로 접근하면 늦습니다. 새 키를 만든 뒤 이전 키는 서비스 관리 화면에서 바로 폐기해 두세요. 그다음에는 이번 기회에 요금 청구 내역을 한 번 훑어보며 짧은 기간이라도 이상한 사용량이 없었는지 확인하면 급한 불은 끈 셈입니다.
키와 비밀번호는 코드가 아니라 별도 자리에 두는 것, 이 원칙 하나만 지켜도 사고의 대부분은 막을 수 있습니다. 복잡한 보안 지식이 없어도 되고, 발급할 때 습관 몇 가지만 챙기면 충분합니다.
팀으로 작업한다면 한 가지만 더
여러 사람이 같은 프로젝트를 함께 만든다면 키를 개인 메신저나 메모장으로 주고받지 마세요. 대신 팀 전용 비밀번호 관리 도구를 하나 정해 두고 그 안에서만 값을 공유하는 편이 안전한데, 담당자가 바뀔 때도 계정 접근만 조정하면 되니 키를 새로 발급하는 번거로움도 함께 줄어듭니다. 키를 발급받을 때, 코드를 공유할 때, 서비스를 열기 직전, 이렇게 세 번만 확인하는 습관을 정해 두면 다음 프로젝트에서도 같은 실수를 반복하지 않게 됩니다.
