環境変数の設定が正しく設定できているか？【Pay.jp】

Question

###知りたいこと
環境変数の設定が外部へ公開されずに、正しく設定できているか確認したいです。
環境変数をうまく設定できていると思ったのですが、Google Developer Consoleで確認をしたところ、環境変数のキーが見えます。これは外部にキーが漏れているような状態でしょうか？それとも、ローカル環境で環境変数を設定しているので、私のパソコンだから見れているということでしょうか？

ローカル環境

vim ~/.bash_profile

export PAYJP_ACCESS_KEY='sk_test_*************'
export PAYJP_PUBLIC_KEY='pk_test_*************'

サーバー環境

heroku config:set PAYJP_ACCESS_KEY='sk_test_*************'
heroku config:set PAYJP_PUBLIC_KEY='pk_test_*************'

<%= form_with local: true, url: "/create" do |form| %>
  <script
    type="text/javascript"
    src="https://checkout.pay.jp"
    class="payjp-button"
    data-key="<%= ENV["PAYJP_PUBLIC_KEY"] %>">
  </script>
<% end %>

Google Developer Consoleで確認すると、

Answer 1

これは外部にキーが漏れているような状態でしょうか？

PAYJP_PUBLIC_KEYについては漏れていると言ってもよいでしょう。

ただしAPIリファレンスに

パブリックキー HTML内に埋め込むトークン生成用のパブリックキー

と書いてあるように、パブリックキーについては公開されている鍵になるはずです。
(デモページや導入事例などのソースを閲覧して調査するのもよいかと思います。)

---

シークレットキーについてはこの段階では漏れておらず安全です。

Comments

[tomtom1]

ご回答ありがとうございます！解説もわかりやすくて、安心しました！

Answer 2

script　のなかに keyの値を書き込んでいるからです。

Comments

[tomtom1]

ご回答ありがとうございます！理解しました！