name

vercel-env-audit

description

Vercel 전체 프로젝트의 환경변수(env/secrets)를 한 번에 감사하는 스킬. 어떤 프로젝트가 어떤 키를 쓰는지 매핑하고, 각 키(OPENAI_API_KEY, STRIPE_*, DATABASE_URL 등)의 재발급 방법까지 안내. 사용 시점: (1) '내 Vercel secret 전부 보여줘', (2) '모든 프로젝트에서 사용 중인 env 조회', (3) '키 로테이션/재발급 하려고 하는데 어디서 쓰이는지', (4) 'vercel env audit', (5) 'API key 유출 대응' 키워드 언급 시.

Vercel Env Audit

Vercel 계정/팀의 모든 프로젝트에 설정된 환경변수를 수집해서, 어떤 프로젝트가 어떤 키를 쓰는지 매핑하고 키별 재발급 방법을 안내하는 스킬.

실행 흐름

Vercel API 토큰 확보 (아래 "토큰 가져오기" 참조)
스크립트 실행 → 모든 프로젝트/모든 env 키 수집
결과 리포트: 프로젝트별 키 목록 + 키별 역매핑 + 재발급 방법 안내

1. Vercel API 토큰 가져오기

환경변수 또는 키체인에 저장된 토큰을 이 우선순위로 찾는다:

# 1순위: 환경변수
echo "$VERCEL_TOKEN"

# 2순위: macOS 키체인 (있다면)
security find-generic-password -s "vercel-api-token" -w 2>/dev/null

# 3순위: ~/.vercel-token 파일
cat ~/.vercel-token 2>/dev/null

위 세 곳 모두에 없으면 사용자에게 요청한다 — 이 문구 그대로 출력:

Vercel API 토큰이 필요합니다. 아래 중 하나로 제공해 주세요:
https://vercel.com/account/tokens 에서 "Create Token" (Scope: Full Account 권장, Expiration 적절히 설정) → 발급된 토큰을 이 대화창에 붙여넣기
또는 터미널에서 미리 저장:
# 현재 세션만
export VERCEL_TOKEN="xxxxxxxxxxxx"

# 영구 저장 (macOS 키체인)
security add-generic-password -a "$USER" -s "vercel-api-token" -w "xxxxxxxxxxxx"

사용자가 토큰을 채팅에 붙여넣으면 절대 파일에 기록하지 말고 그 세션에서 export VERCEL_TOKEN=... 로만 사용한다. 사용자가 "저장해줘"라고 명시한 경우에만 키체인에 등록.

2. 팀 스코프 확인

Vercel은 개인 계정과 팀이 분리되어 있으므로 양쪽 다 훑어야 전체가 나온다.

# 가입된 팀 목록
curl -s "https://api.vercel.com/v2/teams" \
  -H "Authorization: Bearer $VERCEL_TOKEN" | jq -r '.teams[] | "\(.id)\t\(.slug)\t\(.name)"'

팀이 여러 개면 사용자에게 "모든 팀을 훑을까요, 특정 팀만 할까요?" 확인.

3. 스크립트 실행

스킬 루트를 SKILL_DIR 로 잡고 실행한다 (설치 방식에 따라 경로 유연):

SKILL_DIR="$(dirname "$(dirname "$(readlink -f "${BASH_SOURCE[0]:-$0}")")")"
# 또는 직접: SKILL_DIR="$HOME/.claude/skills/vercel-env-audit"

# 전체 계정 + 모든 팀
bash "$SKILL_DIR/scripts/list-all-env.sh"

# 특정 팀만
bash "$SKILL_DIR/scripts/list-all-env.sh" --team <team-slug-or-id>

# JSON 형태로 저장 (후처리용)
bash "$SKILL_DIR/scripts/list-all-env.sh" --json > /tmp/vercel-env-audit.json

스크립트는 기본적으로 값은 받지 않고 키 이름/대상 환경(production/preview/development)/타입(encrypted/plain/secret)만 수집한다. 값까지 필요하다고 사용자가 명시적으로 말하면 --decrypt 플래그 안내.

4. 리포트 형식

스크립트 출력을 받아 다음 두 섹션으로 정리해 보여준다:

A. 프로젝트 → 키 매핑

📦 my-nextjs-app (team: acme)
  ├─ DATABASE_URL            [production, preview]  encrypted
  ├─ STRIPE_SECRET_KEY       [production]           encrypted
  └─ NEXT_PUBLIC_POSTHOG_KEY [production, preview]  plain

📦 my-worker (personal)
  ├─ OPENAI_API_KEY          [production]           encrypted
  └─ SENTRY_DSN              [all]                  plain

B. 키 → 프로젝트 역매핑 (중복/로테이션 대상 파악용)

🔑 OPENAI_API_KEY
   - my-worker (production)
   - analytics-app (production, preview)
   → 재발급: references/reissue-guide.md#openai

🔑 STRIPE_SECRET_KEY
   - my-nextjs-app (production)
   → 재발급: references/reissue-guide.md#stripe

키 이름을 references/reissue-guide.md 의 패턴과 매칭해서 해당 키의 재발급 방법 요약을 인라인으로 붙여준다. 매칭 안 되는 키는 "재발급 방법 미확인 — 해당 서비스 대시보드 확인 필요"로 표시.

5. 보안 유의사항

토큰 값, env 값은 절대 로그/커밋 파일에 남기지 않는다.

키체인에 저장한 토큰을 삭제하려면:

security delete-generic-password -s "vercel-api-token"

감사 리포트를 Slack/PR 본문 등에 붙일 때는 값이 포함되지 않았는지 한 번 더 확인.

참고

Vercel REST API: https://vercel.com/docs/rest-api
엔드포인트: GET /v9/projects, GET /v9/projects/{id}/env
키별 재발급 가이드: references/reissue-guide.md