scan

# tikeytaka:scan — 파편화된 .env 키를 볼트로 통합 코어 CLI: `bash "${CLAUDE_PLUGIN_ROOT}/bin/tkt"` (이하 `tkt`) ## 절차 1. **탐색**: 홈 디렉토리에서 `.env`/`.env.local` 파일을 찾는다. `node_modules`, `Library`, `.Trash`, 백업/Downloads류는 제외한다. **shell rc 파일도 반드시 포함**: `~/.zshrc`, `~/.zprofile`, `~/.bashrc`, `~/.bash_profile`에서 `export *_KEY/*_TOKEN/*_SECRET=` 평문 노출을 찾는다 — rc 파일은 키 유출의 고전 경로인데 .env만 보면 놓친다(2026-08-24 실사례: 죽은 Perplexity 키가 .zshrc에 잔존). rc에서 발견한 키는 볼트 등록 후 rc에서 라인 삭제를 권한다(rc는 전파 대상이 아니라 제거 대상 — 전 셸에 상시 노출되므로). 2. **인벤토리**: 각 파일의 변수 이름만(값 제외) 추출해 보여준다. **키 값은 절대 채팅에 출력하지 않는다** — 값 비교가 필요하면 sha256 앞 8자리 지문으로만 다룬다. 3. **분류**: 변수를 세 종류로 나눈다. - 공유 시크릿(같은 키가 여러 프로젝트에서 쓰임 / API 키·토큰류) → 볼트 등록 대상 - 프로젝트 전용 설정(URL, 모델명, 플래그, 포트) → 제외 - 자동 갱신형 토큰(스크립트가 주기적으로 rewrite하는 것) → 제외하고 사유 고지 4. **충돌 검증**: 같은 이름의 키가 파일마다 다른 값이면, **verify 스킬 레시피**(무과금 엔드포인트·코드 해석 규칙 포함)로 유효성을 실측해 살아있는 값을 정본으로 고른다(예: Gemini `GET /v1beta/models?key=`, OpenAI `GET /v1/models`, Telegram `getMe`). 실측 불가하면 최근 수정 파일의 값을 쓰되 사용자에게 고지한다. 5. **등록·연결** (파일 수정 전 반드시 원본 백업 — 백업 자체가 평문 시크릿이므로: `umask 077` 상태에서 `~/.config/tikeytaka/backup-<날짜>/`에 복사, 디렉토리 700·파일 600 확인, sync 검증 후 삭제 권장을 사용자에게 고지): ```bash printf '%s' "$값" | tkt set-stdin <service> # argv·히스토리 미노출 경로만 사용 (set <svc> <값> 금지) tkt map-add '<파일>' <변수> <service> tkt sync --check # 드라이런 확인 후 tkt sync ``` 서비스명은 `<provider>-api-key` 케밥케이스로 통일한다. 6. **보고**: 등록 수 / 교체된 죽은 키 수 / 살아있는 잉여 키(콘솔에서 폐기 권장) / 제외 항목을 요약한다.