깃헙에 API 키가 노출된 것을 구글클라우드가 어떻게 아는것일까?

Google API key가 깃허브에 노출되었다고 메일이 왔다.

API 코드를 git에 그대로 노출시키는 실수를 했다.
git에 코드를 push하자마자 경고 메일이 날라왔다.
깃헙 어느주소 어느경로의 firebase.config.js파일 안에 키가 그대로 노출되어 있다고....

We have detected a publicly accessible Google API key associated with the following Google Cloud Platform project:
Project [프로젝트명] (id: [프로젝트 아이디]) with API key [API키]
The key was found at the following URL: https://github.com/깃헙주소/client/src/firebaseConfig.js

 

깃헙에 API 키가 노출된 것을 구글클라우드가 어떻게 아는것일까?

나는 firebase realtime database를 프로젝트에 붙여놓았다. 
Firebase는 google이 운영하는 클라우드 플랫폼으로 , Firebase API는 기본적으로 Google Cloud Platform에서 관리된다.
그래서 Firebase 프로젝트에서 API 키를 생성하거나 환경 변수를 설정할 때, Google Cloud Console에서 이를 관리하게 된다.

한편 깃헙은 Secret Scanning Partnership Program 이라는 것을 통해서 public 저장소에 올라오는 민감한 정보 포맷을 정규식으로 감지하고, endpoint로 알림을 보낸다.

"When a match of your secret format is found in a public source, a payload is sent to an HTTP endpoint of your choice."

https://docs.github.com/en/code-security/secret-scanning/secret-scanning-partnership-program/secret-scanning-partner-program

이 과정을 통해 구글 클라우드 플랫폼이 github의 Secret scanning을 통해서 나에게 알람을 보내준 것 이었다.