시크릿 관리¶

이 페이지는 시크릿이 어디에 있고, 어떻게 회전하는가를 정리한다. 실제 시크릿 값(password, API key)은 본 페이지에 적지 않으며 — 위치 포인터만 제공한다. 값을 확인하려면 해당 yml 파일 또는 외부 dashboard를 직접 열어볼 것.

⚠️ plaintext 커밋 경고: application-prod.yml / application-local.yml의 여러 시크릿이 현재 평문 커밋되어 있다. Git history에 남아 있어 회전이 필수이지만, user가 이미 enumerated 항목들은 accept한 상태(feedback_accepted_repo_secrets.md 참조). 신규 시크릿 추가 시에는 절대 평문 커밋 금지.

1. 시크릿 카테고리 한눈에¶

flowchart TB
    subgraph CODE["코드 레포 (커밋)"]
        YML_P["application-prod.yml
(평문 — 회전 필요)"]
        YML_L["application-local.yml
(dev/local 공용)"]
        YML_O["application-oauth.yml
(naver/kakao/google)"]
    end

    subgraph EXT["외부 dashboard / vault"]
        TOSS["Toss Payments
console"]
        OAI["OpenAI
dashboard"]
        LF["Langfuse
cloud.langfuse.com"]
        NCP["Naver Cloud
console"]
        TOSS_PROD["Toss live keys
(미수령)"]
    end

    subgraph LIGHTSAIL["Lightsail box (런타임 only)"]
        ENV_BE["/etc/semugpt/backend.env
(prod, mode 0600)"]
        ENV_FE["/etc/semugpt/frontend.env
(prod, mode 0600)"]
        SLACK["/etc/semugpt/slack-webhook.url
(mode 0600)"]
        SSH_KEY["~/.ssh/aws-semugpt
(개발자 Mac)"]
    end

    YML_P -.회전.-> ENV_BE
    TOSS_PROD -.set in.-> ENV_BE
    OAI -.regen-> ENV_BE
    LF -.regen-> ENV_BE

2. 시크릿 카테고리별 정리¶

2.1 JWT 서명 키¶

⚠️ Hard cutover 후 회전 권장. 현재 legacy backend도 동일 secret을 쓰는 상태라 두 곳을 함께 갱신해야 함.

2.2 Toss Payments¶

회전: 1. Toss Payments console에서 새 키 발급 2. /etc/semugpt/backend.env(backend secret) + /etc/semugpt/frontend.env(client key — NEXT_PUBLIC_TOSS_CLIENT_KEY)에 반영 3. sudo systemctl restart semugpt-backend semugpt-frontend 4. Toss console에서 webhook URL을 https://api-new.semugpt.co.kr/...로 등록 (현재 pending — Phase 11 작업)

2.3 OpenAI¶

⚠️ Token이 유출된 채로 history에 남아 있으므로 hard cutover 시 반드시 회전. 회전 시 데이터 파이프라인 (packages/data-pipeline)도 함께 갱신해야 함 (CLI 실행 시 사용).

2.4 Langfuse¶

Langfuse는 7개 LLM 프롬프트의 model/temperature/maxTokens config를 관리한다 (rag-final-answer, hyde-generator, intent-router, query-rewrite, keyword-extraction 등 — CLAUDE.md "Langfuse 프롬프트 모델 설정" 참조). langfuse.enabled=false이거나 키 미주입 시 코드 fallback(하드코딩 prompt + default model)으로 silently 동작.

회전: Langfuse cloud → Settings → API Keys → regenerate → /etc/semugpt/backend.env 갱신 → restart.

2.5 Naver Cloud SENS (SMS)¶

⚠️ AWS SNS 아님 주의. 과거 위키에서 SMS 구현체를 AWS SNS로 잘못 인용한 사례가 있어 (CLAUDE.md Prior incidents 참조), application.yml의 aws.sns.enabled=true는 별개 설정.

2.6 AWS credentials¶

회전 (IAM key): 1. aws --profile ob iam create-access-key --user-name <user> 2. application-prod.yml 평문 라인을 env var ref로 바꾸고 /etc/semugpt/backend.env에 새 키 주입 3. 기존 key AKIAQLD6ZXDVRTY2FHER deactivate → 72시간 모니터링 후 delete 4. Bootalk 다른 프로젝트(예: ../semugpt-backend의 SNS) 영향 확인

2.7 RDS MySQL¶

⚠️ 회전 시점에 legacy backend와 new backend의 env를 동시에 갱신해야 함. 그렇지 않으면 한쪽이 connection 실패. Hard cutover 후 회전 권장.

⚠️ RDS SG는 hard cutover 후 잠글 예정 (0.0.0.0/0 제거 + 사무실 IP + Lightsail VPC + default VPC만 허용). 현재는 보안 우려 상태.

Local MySQL은 별개 — docker-compose.dev.yml의 root/selim3400이며 dev box / 로컬 모두 동일.

2.8 Elasticsearch¶

uiti0701!의 ! 문자가 shell parsing을 깨므로 개발 환경 페이지의 "ES password 주의" 섹션 참조 (printf + base64 패턴 또는 %21 URL-encode).

2.9 Lightsail SSH¶

⚠️ SSH key 자체는 git에 커밋되지 않음. 인수 시 별도 안전 채널로 전달 필요 — 접근 권한 목록 참조.

2.10 Slack incoming webhook (Lightsail)¶

2.11 OAuth (Naver / Kakao / Google)¶

⚠️ 현재 미사용 — auth 코드에 OAuth2 도메인은 있으나 활성 라우트가 없다. (auth 페이지 "관련 문서"의 "알려진 이슈" 참조) 회전 시 각 provider console에서 secret regenerate. 활성화 전 어차피 redirect URI를 prod URL로 갱신해야 하므로 hard cutover 시점에 함께.

2.12 Cloudflare Tunnel (dev only)¶

⚠️ prod에는 cloudflared tunnel 사용 불가 (Route 53이라 zone-on-Cloudflare 요건 미충족). prod는 ALB로 직접 받음.

3. 회전 우선순위¶

Hard cutover 시점에 반드시 회전해야 할 시크릿 (Git history에 평문 노출됨):

4. 환경변수 override 메커니즘¶

application-prod.yml의 평문 값은 Spring @Value binding 덕에 환경변수로 override 가능하다 (verified, spec Section 10). 즉:

# /etc/semugpt/backend.env
SPRING_DATASOURCE_PASSWORD=<new password>
OPENAI_TOKEN=<new token>
JWT_SECRET=<new secret>
LANGFUSE_PUBLIC_KEY=<...>
LANGFUSE_SECRET_KEY=<...>
TOSS_CLIENT_KEY=<live>
TOSS_SECRET_KEY=<live>
TOSS_BILLING_CLIENT_KEY=<live>
TOSS_BILLING_SECRET_KEY=<live>
CORS_ALLOWED_ORIGINS=https://semugpt.co.kr,https://www.semugpt.co.kr,https://new.semugpt.co.kr

systemd unit이 EnvironmentFile=/etc/semugpt/backend.env 지시문으로 로드 → JVM 시작 시 주입 → Spring이 yml hardcoded 값을 override.

⚠️ Frontend는 빌드 타임에 NEXT_PUBLIC_* env가 번들에 박힌다 — .env.local 변경 시 빌드 재실행 필요.

5. 시크릿 추가 시 안전 패턴¶

새 시크릿(예: 새 외부 SaaS) 추가 시:

1. application-prod.yml에는 env var ref만 쓴다: myservice.api-key: "${MYSERVICE_API_KEY}"
2. application-local.yml에는 dev/test 키 또는 placeholder. 절대 prod 값을 commit 하지 말 것
3. /etc/semugpt/backend.env에 실제 값 주입 (Lightsail prod) — 권한 0600, root 소유
4. 신규 시크릿은 접근 권한 목록에 등록 — 인수 시점에 누락 방지

알려진 이슈 / 개선 예정¶

• Git history에 평문 시크릿 다수 — 회전 외에는 해결 불가 (히스토리 rewrite는 협업 흐름 깨짐). user-accepted (feedback_accepted_repo_secrets.md)
• secret manager 부재 — AWS Secrets Manager / SSM Parameter Store 미사용. 작은 팀에 과한 인프라라 도입 보류
• application-prod.yml의 IAM access key 평문 — 회전 + env var ref 전환 필요 (TODO)
• Toss live keys 미수령 — 클라이언트(김창진/김진우) 측 manual 작업
• application-oauth.yml의 OAuth secret 평문 — 활성 라우트 없어 즉시 위험은 낮음. 활성화 시 회전 필수
• Backend Sentry DSN 부재 — 시크릿이라기보다 모니터링 갭. 모니터링 페이지 참조
• 인증서 만료 모니터링 부재 — ACM cert는 자동 갱신이지만 만료(2026-08-13) 임박 시 알림 부재. CloudWatch alarm 또는 외부 cron 도입 검토 필요

관련 문서¶

• 개발 환경 — dev secret 위치 (Lightsail box + cloudflared cert)
• 운영 배포 — pre-cutover 시 secret rotation 시점 (Phase 11)
• 접근 권한 목록 — 인수 시 권한·키 인계 체크리스트
• 1차 출처: 레포 루트 CLAUDE.md의 "Production Infrastructure" 섹션 + Spec Section 11a (secret rotation)