AI API 키 보안 실전 가이드 — 노출 방지·환경변수 관리·Workload Identity Federation까지

.env 파일과 .gitignore 기본 설정
# .env (절대 깃허브에 커밋하지 마라)
ANTHROPIC_API_KEY=sk-ant-...
OPENAI_API_KEY=sk-...
GEMINI_API_KEY=...

# .env.example (깃허브에 커밋 가능 — 실제 값 없음)
ANTHROPIC_API_KEY=여기에_앤트로픽_API_키를_입력하세요
OPENAI_API_KEY=여기에_오픈AI_API_키를_입력하세요
GEMINI_API_KEY=여기에_제미나이_API_키를_입력하세요

# .gitignore에 반드시 추가
.env
.env.local
.env.*.local
*.env

Next.js에서 API 키를 서버 사이드에서만 사용하는 방법
// pages/api/chat.js (서버 사이드 API 라우트 — API 키가 클라이언트에 노출되지 않음)
import Anthropic from "@anthropic-ai/sdk";

export default async function handler(req, res) {
  if (req.method !== "POST") return res.status(405).end();

  // process.env는 서버에서만 접근 가능 — 클라이언트에 절대 노출 안 됨
  const client = new Anthropic({
    apiKey: process.env.ANTHROPIC_API_KEY,
  });

  const { userMessage } = req.body;

  const response = await client.messages.create({
    model: "claude-sonnet-4-6",
    max_tokens: 1024,
    messages: [{ role: "user", content: userMessage }],
  });

  return res.json({ reply: response.content[0].text });
}

// ❌ 절대 하지 말아야 할 패턴 — API 키가 브라우저에 노출됨
// const client = new Anthropic({ apiKey: process.env.NEXT_PUBLIC_API_KEY }); // 클라이언트에서 직접 호출

AWS Secrets Manager에서 API 키를 가져오는 방법 (Python)
import boto3
import json
import os

def get_api_key(secret_name: str, region: str = "ap-northeast-2") -> str:
    """AWS Secrets Manager에서 API 키를 가져온다."""
    session = boto3.session.Session()
    client = session.client(service_name="secretsmanager", region_name=region)

    response = client.get_secret_value(SecretId=secret_name)
    secret = json.loads(response["SecretString"])
    return secret["api_key"]

# 사용 예시
anthropic_key = get_api_key("prod/anthropic/api-key")

import anthropic
client = anthropic.Anthropic(api_key=anthropic_key)