오픈소스 문서 사이트 39곳에서 Algolia 관리자 키가 노출되고 있었다

무슨 일이 있었나

한 보안 연구자가 오픈소스 프로젝트의 문서 사이트 39곳에서 Algolia의 Admin API Key가 프론트엔드 코드에 그대로 노출되어 있는 것을 발견했습니다. Algolia DocSearch를 연동하면서 검색 전용 키(Search-Only Key) 대신 관리자 키를 실수로 커밋한 것이 원인입니다.

왜 위험한가

Algolia Admin Key가 노출되면 단순 검색을 넘어 인덱스 데이터 삭제, 수정, 새 인덱스 생성 등 전체 제어가 가능합니다. 문서 사이트의 검색 결과를 조작해 악성 링크를 삽입하거나, 피싱 페이지로 유도하는 공급망 공격(supply chain attack)에 악용될 수 있습니다.

이런 실수가 반복되는 이유는 명확합니다:

.env 파일 관리 부재 또는 환경변수와 빌드타임 변수의 혼동
Algolia 대시보드에서 키를 복사할 때 Search-Only Key와 Admin Key를 구분하지 않음
코드 리뷰 시 API 키 종류까지 검증하지 않는 관행

개발자가 확인해야 할 것

자신의 프로젝트에서 Algolia를 사용 중이라면 지금 바로 확인해보세요:

1. 프론트엔드 번들에 포함된 키가 Search-Only Key인지 확인
2. Admin Key가 노출됐다면 즉시 키 로테이션 실행
3. CI/CD 파이프라인에 시크릿 스캐닝 도구(GitLeaks, TruffleHog 등) 도입 검토
4. .env.example에는 절대 실제 키를 넣지 않기