自動化システムを構築する際、最も注意しなければならないのが「認証情報（APIキーやパスワード）」の取り扱いです。プログラムのコード内にパスワードを直接書き込む（ハードコーディングする）ことや、プレーンテキストのまま設定ファイルに保存することは、情報漏洩の重大なリスクとなります。
今回は、macOSに標準搭載されている暗号化ストレージ「キーチェーン（Keychain）」を利用し、セキュリティを担保しながらPythonスクリプトから安全にパスワードを呼び出す手法について解説します。
なぜ.envファイルや直書きでは不十分なのか？
開発現場でよく使われる.envファイル（テキスト形式の環境変数ファイル）は手軽ですが、誤ってGitHubなどの公開リポジトリにコミット（アップロード）してしまう事故が絶えません。また、PC内の他の悪意あるプログラムから読み取られてしまう危険性も残ります。
セキュリティを高めるためには、OSレベルで暗号化された安全な領域に機密情報を保管することが推奨されます。
macOS Securityコマンドによるキーチェーン操作
macOSには、ターミナルからキーチェーンにアクセスするためのsecurityコマンドが用意されています。
キーチェーンへの安全な保存（事前準備）
# パスワードを暗号化保存するコマンド例
security add-generic-password -a "ユーザー識別名" -s "サービス名" -w "保存したいパスワード"Pythonスクリプトからの呼び出し
Pythonのsubprocessモジュールを使用して、スクリプト実行時のみメモリ上で安全にパスワードを取得します。
import subprocess
def get_secret(service_name, account_name):
cmd = f'security find-generic-password -a "{account_name}" -s "{service_name}" -w'
result = subprocess.run(cmd, shell=True, capture_output=True, text=True)
return result.stdout.strip()
# 使用例（WordPressのアプリケーションパスワードを取得）
wp_password = get_secret("wordpress-app-pass", "my-wp-user")パイプライン全体におけるセキュリティ設計
本システムでは、以下の主要な機密情報をすべてキーチェーンまたは適切な権限管理下で保護しています。
- WordPress アプリケーションパスワード: キーチェーン（securityコマンド）経由で取得
- フリー素材画像APIキー: キーチェーン経由で取得
- GA4 / GSC サービスアカウント鍵（JSON）: ローカルのアクセス制限された専用フォルダに配置
これにより、スクリプトのソースコードを外部に共有したりリポジトリで管理したりしても、機密情報が外部に漏れる心配がありません。
まとめ
「便利さ」と「セキュリティ」は時にトレードオフの関係になりますが、macOSのキーチェーン機能をうまく活用することで、安全性を一切犠牲にすることなく自動化システムを運用できます。大切なWebサイトと信用を守るためにも、初期構築時のセキュリティ設計には万全を期すことが重要です。次回は、インフラ設計における「ローカル実行 vs サーバー自動実行」のトレードオフについて徹底比較します。
編集後記
セキュリティ対策は、トラブルが起きてからでは遅い分野です。特に検索エンジンの権限やWordPressの管理権限は、乗っ取られた際の影響が非常に大きいため、最初から「安全な設計」を標準として組み込んでおくことが大切です。キーチェーン連携は、Macユーザーであればぜひ知っておきたい強力なセキュリティ手法の一つです。