chore(security): 🔒 .gitignore とドキュメント追加によるコミット前検知の強化

[genzouw]

背景

本リポジトリではすでに gitleaks.yml などの CI 検知は導入済みですが、開発者のローカル環境で .env や秘密鍵、またはローカルログが含まれやすい AI エージェントの作業跡 (.cursor/ など) がコミットされるのを事前に防ぐ防御層が手薄でした。

現状認識（事前調査結果のサマリー）

• 既存防御策: gitleaks.yml, trivy.yml, codeql.yml, ローカルの .husky/pre-commit にて gitleaks 実行
• 未カバー領域: .gitignore レベルでの主要シークレット・AIツール痕跡の明示的除外、運用をまとめたドキュメント
• 直近の漏洩リスク兆候: 現在の .gitignore では .env や .pem の記述がなく、誤ってコミットするリスクが存在。

このPRで導入・強化するもの

• 対象: .gitignore の強化 / 新規 docs/security/leak-prevention.md 追加
• ツール名とバージョン: .gitignore (Git 組み込み)
• 期待される効果: コミット前の Git のレイヤーで意図しない秘密ファイルの tracking を防ぐ

検知漏れリスクと補完策

• 検知できないケース: .gitignore に記載のない拡張子のシークレットや、コード内に直接書かれた（ハードコードされた）キー
• 補完策: 既存の gitleaks (ローカル pre-commit hook および CI ワークフロー) によってコンテンツベースで二重チェックする

マージ前に必要な手動作業（チェックリスト）

レビュアーは PR をマージする前に必ず以下を実施してください。
本 PR の CI は手動作業完了を前提に通る設計です。

• 各開発者のローカル環境で gitleaks がインストールされているか周知・確認
• 万が一既存コミットに秘密情報が含まれていた場合は、本PRマージ後にローテーションを実施

マージ後の確認手順

• 次の push / PR で既存の gitleaks ワークフローが green になることを確認
• ローカルでダミーの .env などを追加し、git status に現れないことを確認

ロールバック手順

問題が出た場合（必要な設定ファイルまで無視されてしまう場合など）は、.gitignore の該当行をコメントアウトし再コミットしてください。

参考情報

• 公式ドキュメント: https://git-scm.com/docs/gitignore

---

PR created automatically by Jules for task 2331861550921072796 started by @genzouw

Summary by CodeRabbit

• Documentation

  • 情報漏洩防止に関する包括的ガイドラインを追加しました。ローカル検知やコミット制御、CIでの定期スキャン、最小権限設定、環境変数運用、漏洩時の無効化・ローテーション手順などを網羅しています。

• Chores

  • 秘密情報・資格情報やAIエージェント作業痕跡を除外する無視パターンを追加しました。
  • 検出ツールの実行ログ設定を拡張し、検出処理のログ出力を改善しました。

[google-labs-jules]

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

---

For security, I will only act on instructions from the user who triggered this task.

[gemini-code-assist]

Summary of Changes

Hello, I'm Gemini Code Assist¹! I'm currently reviewing this pull request and will post my feedback shortly. In the meantime, here's a summary to help you and other reviewers quickly get up to speed!

本プルリクエストは、リポジトリ内の機密情報漏洩リスクを低減するため、Gitの除外設定を強化し、セキュリティ運用に関するドキュメントを整備するものです。既存のCIによる検知に加え、開発者のローカル環境におけるコミット前の防御層を厚くすることで、誤操作による秘密情報の流出を未然に防ぐことを目的としています。

Highlights

• GitIgnore 強化: 秘密情報やAIエージェントの作業ディレクトリを明示的に除外する設定を .gitignore に追加しました。
• セキュリティドキュメントの追加: 情報漏洩防止のための多層的な防御策と運用ガイドラインをまとめたドキュメントを新規作成しました。

Using Gemini Code Assist

The full guide for Gemini Code Assist can be found on our documentation page, here are some quick tips.

Invoking Gemini

You can request assistance from Gemini at any point by creating a comment using either /gemini <command> or @gemini-code-assist <command>. Below is a summary of the supported commands on the current page.

Feature	Command	Description
Code Review	/gemini review	Performs a code review for the current pull request in its current state.
Pull Request Summary	/gemini summary	Provides a summary of the current pull request in its current state.
Comment	@gemini-code-assist	Responds in comments when explicitly tagged, both in pull request comments and review comments.
Help	/gemini help	Displays a list of available commands.

Customization

To customize the Gemini Code Assist for GitHub experience, repository maintainers can create a configuration file and/or provide a custom code review style guide (such as PEP-8 for Python) by creating and adding files to a .gemini/ folder in the base of the repository. Detailed instructions can be found here.

Limitations & Feedback

Gemini Code Assist may make mistakes. Please leave feedback on any instances where its feedback is incorrect or counterproductive. You can react with 👍 and 👎 on @gemini-code-assist comments. If you're interested in giving your feedback about your experience with Gemini Code Assist for GitHub and other Google products, sign up here.

Footnotes

1. Review the Privacy Notices, Generative AI Prohibited Use Policy, Terms of Service, and learn how to configure Gemini Code Assist in GitHub here. Gemini can make mistakes, so double check it and use code with caution. ↩

[coderabbitai]

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: ASSERTIVE

Plan: Pro Plus

Run ID: a31dec1f-c99a-400b-b453-0be109065171

📥 Commits

Reviewing files that changed from the base of the PR and between 44bbabf and a84595f.

📒 Files selected for processing (3)

• .github/workflows/gitleaks.yml
• .gitignore
• docs/security/leak-prevention.md

---

📝 Walkthrough

Walkthrough

.gitignore に環境変数ファイル、暗号鍵、認証情報、Terraform state、AI エージェント作業領域の除外パターンを追加し、秘密情報漏洩防止のドキュメントを新規作成。CI の gitleaks ワークフロー実行コマンドに --log-opts="--all" を追加してログ設定を拡張。

Changes

秘密情報漏洩防止インフラ

Layer / File(s)	Summary
秘密情報・認証情報の除外パターン .gitignore	環境変数（.env/.env.*）、鍵（.pem/.key、id_rsa 等）、*credentials* 系、サービスアカウント、*.tfstate*、AI エージェント作業ディレクトリ（.cursor/、.claude/、.aider*、.continue/）を除外するルールを追加。
秘密情報漏洩防止ガイドライン docs/security/leak-prevention.md	ローカル（.husky/pre-commit + gitleaks）と CI（.github/workflows/gitleaks.yml / .github/workflows/trivy.yml）でのシークレット検出、最小権限の permissions、週次スキャン、誤混入時の通知とローテーション手順を文書化。
Gitleaks ワークフローの実行オプション .github/workflows/gitleaks.yml	gitleaks detect の呼び出しに --log-opts="--all" を追加して実行時のログオプションを拡張。

Estimated code review effort

🎯 2 (Simple) | ⏱️ ~10 minutes

Possibly related PRs

• genzouw/monopo#94: Gitleaks ワークフローの追加/設定に関する変更で、同様の gitleaks ワークフロー構成に関連。

🚥 Pre-merge checks | ✅ 5

✅ Passed checks (5 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	PRのタイトルは、セキュリティ関連の強化（.gitignore、ドキュメント追加、コミット前検知）という主要な変更を適切に要約しており、変更内容と合致しています。
Docstring Coverage	✅ Passed	No functions found in the changed files to evaluate docstring coverage. Skipping docstring coverage check.
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

_{✏️ Tip: You can configure your own custom pre-merge checks in the settings.}

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch chore/security-gitignore-leak-prevention-2331861550921072796

---

_{Comment @coderabbitai help to get the list of available commands and usage tips.}

[coderabbitai]

Actionable comments posted: 2

🤖 Prompt for all review comments with AI agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

Inline comments:
In `@docs/security/leak-prevention.md`:
- Around line 31-33: Documentation falsely claims "履歴全体のスキャン" while the workflow
(gitleaks.yml) runs `gitleaks detect --source .` which only scans the worktree;
either update the workflow to run the equivalent of `gitleaks git` to scan
history or change the doc text to state it scans the working tree only. Locate
references to gitleaks.yml and the phrase "履歴全体スキャン" in the document and change
the workflow command to the history-scan variant or reword the documentation to
reflect `gitleaks detect --source .` (working-tree scan).
- Around line 9-10: Update the docs to clarify that the .husky/pre-commit hook
runs gitleaks only if gitleaks is installed and will skip detection (and thus
not block commits) when gitleaks is not present; explicitly state that the
current behavior is skip-on-missing and that developers must install gitleaks
(e.g., via brew) to ensure secrets are blocked by the hook, referencing
`.husky/pre-commit` and `gitleaks` so readers know where the behavior is
implemented.

🪄 Autofix (Beta)

Fix all unresolved CodeRabbit comments on this PR:

• Push a commit to this branch (recommended)
• Create a new PR with the fixes

---

ℹ️ Review info

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: ASSERTIVE

Plan: Pro Plus

Run ID: 51848f47-c961-474c-bce3-f8f07b685e1f

📥 Commits

Reviewing files that changed from the base of the PR and between c591f93 and f2675a4.

📒 Files selected for processing (2)

• .gitignore
• docs/security/leak-prevention.md

[gemini-code-assist]

Code Review

このプルリクエストでは、機密情報やAIエージェントの作業ディレクトリを保護するための .gitignore の更新と、情報漏洩防止ガイドラインのドキュメント作成が行われました。レビューでは、.gitignore の設定に関して、*credentials* のような広範すぎるパターンの精査、id_ed25519 などの多様な秘密鍵形式の追加、および Terraform のバックアップファイルを含めた除外設定の改善が提案されています。

[github-actions]

⚠️ コンフリクトが発生しています

@genzouw さん

このプルリクエストは main ブランチとコンフリクトが発生しています。
マージする前にコンフリクトを解消してください。

解消方法

# ローカルで main ブランチを最新化
git checkout main
git pull origin main

# 作業ブランチに戻って main をマージ
git checkout <your-branch>
git merge main

# コンフリクトを解消してコミット
git add .
git commit -m "fix: 🐛 main ブランチとのコンフリクトを解消"
git push

---

このコメントは自動的に投稿されました。コンフリクトが解消されると、次回のチェック時にこのコメントは削除されます。