Google API Key 如果被公開在網站原始碼、GitHub、程式截圖、聊天記錄或設定檔中，其他人可能拿它呼叫 Google API，消耗專案配額，甚至產生非預期費用。

發現 API Key 外洩後，不應只把公開頁面的金鑰文字刪掉。因為金鑰可能已被搜尋引擎、程式碼掃描工具、瀏覽器快取或第三方人員複製。

Google 對疑似外洩憑證的建議處理方式，是建立新的 API Key、套用與舊金鑰相符的限制、將系統改用新金鑰，再刪除遭外洩的舊金鑰。若新舊金鑰限制不一致，網站或應用程式可能發生中斷。

Google Cloud 憑證管理：

Google 官方外洩憑證處理說明：

處理遭入侵的 Google Cloud 憑證

讓更多人搜尋到你的產品？現在有機會免費行銷 20 天！
現在越來越多品牌開始透過 內容行銷，讓產品被 Google 搜尋到。

我們現在開放 20 天免費內容行銷體驗，透過搜尋曝光與內容推廣，幫助你的產品被更多人看見。

立即報名　→

API Key 外洩處理快速對照表

發現的情況	優先處理方式	是否需要更換金鑰
API Key 出現在公開網站原始碼	建立新金鑰並限制網域，完成替換後刪除舊金鑰	建議需要
API Key 上傳到公開 GitHub	立即輪替金鑰並清除程式碼歷史紀錄	需要
收到 Google 外洩警告	確認憑證類型、輪替並檢查使用量	需要
API 使用量突然增加	限制或刪除舊金鑰，檢查 API 指標及帳單	建議需要
尚未發現異常費用	仍應輪替及限制金鑰	建議需要
金鑰完全沒有任何限制	立即增加限制或更換金鑰	強烈建議
不確定系統是否仍在使用	先建立新金鑰、逐項替換及測試，再刪除舊金鑰	需要
服務帳戶 JSON 金鑰外洩	停用或刪除該服務帳戶金鑰並重新產生	需要
OAuth 用戶端密碼外洩	重新設定或輪替 OAuth 憑證	需要
只是不小心顯示一次	仍視為已外洩處理	建議需要

一、先確認外洩的是哪一種憑證

很多人把所有 Google 憑證都稱為 API Key，但實際上可能是不同類型。

1. 一般 API Key

常見格式通常以：

AIza...

開頭。

常用於：

Google Maps JavaScript API
Places API
Geocoding API
YouTube Data API
Gemini API
自訂網站或App呼叫Google API
學校網站地圖
招生系統地址查詢
報名系統地址自動完成

標準 API Key 主要用來將 API 要求與 Google Cloud 專案建立關聯，以便管理配額與費用；標準 API Key 本身通常不代表特定使用者身分。

2. 服務帳戶金鑰

通常是下載的 JSON 檔案，可能包含：

private_key
private_key_id
client_email
project_id

服務帳戶金鑰的風險通常比一般 API Key 更高，因為它可能讓持有者以服務帳戶身分存取雲端資源。

服務帳戶金鑰外洩時，應優先停用、輪替或刪除，並檢查該服務帳戶擁有哪些 IAM 權限。Google 建議在刪除服務帳戶金鑰前，可先停用並確認系統不再需要，再執行刪除。

3. OAuth 用戶端憑證

OAuth 憑證可能包含：

Client ID
Client Secret
重新導向網址

常用於：

使用 Google 登入
存取 Google Drive
存取 Gmail
存取 Calendar
取得使用者授權資料

OAuth Client Secret 外洩的處理方式與一般 API Key 不完全相同，不能只到 API Key 清單刪除。

4. Firebase 設定中的 API Key

Firebase 網頁設定中的 API Key 有時會出現在前端程式碼中，但這不代表可以完全不設防。

仍應搭配：

Firebase Security Rules
App Check
API限制
網域限制
身分驗證
資料庫權限

不要單憑「Firebase API Key 本來就能放前端」就忽略資料庫規則及帳單風險。

二、API Key 外洩後的緊急處理順序

建議依照以下順序處理：

保存異常證據。
確認外洩的專案與金鑰。
建立新的 API Key。
為新金鑰加入應用程式限制。
為新金鑰加入 API 限制。
更新網站、App或伺服器設定。
測試所有使用API的功能。
刪除遭外洩的舊金鑰。
檢查API使用量與費用。
設定預算、配額與異常通知。
從公開位置移除金鑰。
檢查其他憑證是否同時外洩。

三、第一步：先保存證據，不要急著只刪除畫面

發現金鑰公開時，可以先記錄：

外洩網址
GitHub儲存庫
程式碼檔案位置
發現日期與時間
API Key名稱
Google Cloud專案名稱
專案編號
異常用量畫面
帳單異常畫面
Google寄來的警告信

保存證據後，再立即進行金鑰輪替。

這些資料有助於後續判斷：

外洩多久
哪些系統受到影響
是否產生異常使用
是否需要向內部資安或主管回報
是否需要向Google Cloud支援提出帳務案件

不要為了保存證據而讓金鑰繼續有效太久。可使用截圖與匯出紀錄，不需要等待完整調查後才開始處理。

四、如何建立新的 Google API Key？

Google Cloud 憑證頁面：

建立步驟

登入 Google Cloud Console。
選擇發生外洩的正確專案。
開啟「API和服務」。
選擇「憑證」。
點選「建立憑證」。
選擇「API金鑰」。
建立後立即點選「編輯API金鑰」。
設定應用程式限制。
設定API限制。
儲存設定。

Google 官方建議不要直接在程式碼中嵌入 API Key，並應對金鑰設定限制，以降低憑證外洩後的影響。

五、為什麼不能直接刪除舊金鑰？

如果外洩金鑰仍被正式網站、App、招生系統或報名系統使用，立即刪除後可能造成：

Google地圖無法顯示
地址自動完成失效
地址轉換經緯度失敗
YouTube資料讀取失敗
Gemini功能停止
後台API呼叫錯誤
報名表單無法取得地址
企業系統排程失敗
手機App服務中斷

因此，較安全的輪替程序是：

建立新金鑰。
套用正確限制。
將所有系統改用新金鑰。
測試主要功能。
確認舊金鑰沒有正常流量。
刪除外洩金鑰。

Google 對遭入侵 API Key 的官方處理指引也是先建立新金鑰、確認限制一致、部署至所有使用位置，再刪除舊金鑰。

但如果已確認金鑰正在遭到大量濫用，且費用仍快速增加，應優先阻止繼續使用。此時可以接受部分服務暫時中斷，先刪除或嚴格限制舊金鑰，再進行系統修復。

六、Google API Key 可以停用嗎？

一般標準 API Key 在 Google Cloud Console 中，最常見的處理方式是：

編輯限制
刪除金鑰
建立新金鑰並輪替
停用該金鑰可使用的API
降低相關API配額

因此，文章中常說的「停用 API Key」，實務上可能代表幾種不同操作：

方法一：直接刪除金鑰

刪除後，使用該金鑰的要求將無法正常通過。

適合：

已確認外洩
系統已換成新金鑰
舊金鑰不再使用
異常用量仍持續增加

方法二：加入嚴格限制

例如把原本完全沒有限制的金鑰，改成只允許：

指定網站
指定伺服器IP
指定Android App
指定iOS App
指定Google API

這可以快速縮小外洩金鑰可被使用的範圍，但不能取代金鑰輪替。因為外洩金鑰本身已不再是秘密。

方法三：停用相關 API

可到「API和服務」中停用遭濫用的API。

但這會影響整個專案，不只是單一金鑰，因此可能讓其他正常系統一併停止。

方法四：降低配額

可以降低每日或每分鐘配額，限制持續濫用的規模。

但Google提醒，配額執行可能存在延遲，不應把配額視為完全精準的費用上限。

七、如何刪除外洩的 API Key？

Google Cloud Console 操作

前往Google Cloud Console。
選擇正確專案。
開啟「API和服務」。
點選「憑證」。
在「API金鑰」中找到外洩金鑰。
先確認新金鑰已完成部署。
點選舊金鑰名稱。
選擇「刪除」。
確認刪除。

Google官方憑證管理說明：

刪除前確認清單

網站已改用新金鑰
App已發布新版本或更新設定
伺服器環境變數已更新
CI/CD祕密設定已更新
排程工作已更新
測試環境已更新
正式環境已更新
Google地圖功能正常
地址查詢功能正常
API錯誤率沒有突然上升

如果同一把金鑰同時用於多個網站與系統，應逐一盤點，不能只修改目前看到的網站。

八、API Key 刪除後還會繼續產生費用嗎？

刪除 API Key 後，新的 API 要求通常無法再使用該金鑰。

但是帳單畫面不一定立刻停止增加，可能有以下原因：

用量與帳務資料存在顯示延遲
刪除前已經完成的API要求尚未入帳
專案中還有其他API Key
服務使用OAuth或服務帳戶憑證
同一專案還有其他付費資源
另一個專案仍使用相同付款帳戶
正式環境其實使用另一把金鑰

因此，刪除後應持續檢查至少以下三個位置：

API使用量。
Cloud Billing報表。
憑證及資源清單。

不能只看到帳單仍增加，就判定刪除沒有生效；也不能只看到API用量下降，就認為其他雲端費用已全部停止。

九、如何檢查 API 是否被盜用？

1. 查看 API資訊主頁

Google Cloud Console：

開啟「API和服務」。
點選「資訊主頁」。
選擇可疑API。
查看要求數、錯誤率及延遲。
調整日期範圍。
比較外洩前後的使用量。

Google 官方指出，查看 API 指標最簡單的方式，是使用 Google Cloud Console 的 API Dashboard；可以查看所有 API 的概況，也可以深入查看單一 API。

2. 檢查異常特徵

常見異常包括：

深夜出現大量API要求
非營業時間使用量暴增
平常低流量，突然增加數十倍
出現不熟悉國家或來源
大量失敗要求
使用到原本沒有規劃的API
每日配額突然用完
地圖載入量遠高於網站流量
YouTube或Gemini要求量異常

3. 查看 Cloud Logging

依API支援程度，可以從Cloud Logging檢查：

呼叫時間
方法名稱
資源
錯誤內容
管理操作
憑證變更紀錄

API Keys服務會產生管理活動相關的Cloud Audit Logs，可用於查看API Key的建立、修改或刪除等管理操作。

但不是每項API都會在日誌中完整呈現原始使用者IP或所有要求細節，實際內容要依服務文件判斷。

十、如何檢查是否產生異常費用？

Google Cloud Billing：

檢查步驟

登入Google Cloud Console。
開啟「帳單」。
選擇正確帳單帳戶。
進入「報表」。
將日期範圍調整為外洩前後。
依專案分組。
依服務分組。
依SKU查看費用。
比較每日費用變化。
匯出或保存異常明細。

優先查看

哪一個專案增加
哪一項API增加
從哪一天開始
每日增加多少
是否持續成長
是否有其他雲端資源同時增加

帳單沒有增加就代表安全嗎？

不一定。

可能原因包括：

API仍在免費額度內
濫用的是不收費API
帳務資料尚未更新
配額已用完但尚未產生額外費用
攻擊者只是測試金鑰是否有效
金鑰可使用但尚未被大規模濫用

因此，即使費用為零，已公開的API Key仍應輪替。

十一、異常費用可以向 Google 申訴嗎？

可以向Google Cloud Billing支援反映帳務問題，但是否能調整費用，需要由Google依帳戶、使用紀錄與事件情況審查，不能保證退款。

Google Cloud帳務問題處理入口：

Google Cloud 帳單問題排解

提出案件前準備：

帳單帳戶ID
專案ID
API名稱
API Key名稱
外洩日期
發現日期
已採取的處理措施
異常費用期間
每日費用明細
GitHub或公開網址證據
Google警告信
金鑰刪除或輪替時間
已設定的限制與配額

描述時應具體說明：

何時發現憑證外洩
哪個API出現異常
正常使用量是多少
異常增加多少
已何時刪除舊金鑰
已採取哪些防止再發措施

不要只寫「帳單太高」或「我沒有使用」。

十二、如何設定 API Key 應用程式限制？

Google API Key的應用程式限制，用來限制哪些網站、伺服器或App可以使用金鑰。

Google官方指出，一把API Key一次只能使用一種類型的應用程式限制。

1. 網站限制：HTTP Referrer

適合：

企業網站
學校網站
招生網站
網頁版報名系統
前端Google地圖

例如允許：

Google官方要求網站限制應包含通訊協定，例如https://，不能只填入網域名稱。

常見錯誤：

只填example.com
漏掉www
漏掉子網域
沒有加入測試站
使用過度寬泛的萬用字元
同時允許所有網站

2. IP地址限制

適合：

後端伺服器
固定IP主機
排程程式
伺服器對伺服器API

常見錯誤：

主機使用浮動IP
Cloud NAT出口IP未固定
忘記加入備援主機
將內部IP誤當公開出口IP
使用者端直接呼叫卻設成伺服器IP限制

3. Android App限制

通常需要設定：

Android套件名稱
SHA-1憑證指紋

正式版、測試版及不同簽署憑證可能需要分開處理。

4. iOS App限制

通常使用：

Bundle ID

要確認正式App與測試App的識別資訊是否不同。

十三、如何設定 API 限制？

應用程式限制控制「誰可以使用」，API限制控制「可以使用哪些Google服務」。

例如一把只供Google地圖使用的金鑰，就不應同時允許：

YouTube Data API
Gemini API
Geocoding以外的不相關服務
所有Google Cloud API

Google官方建議將API限制縮小到實際需要的最少服務，以降低金鑰外洩後的風險。

設定步驟

開啟「API和服務」。
點選「憑證」。
選擇API Key。
找到「API限制」。
選擇「限制金鑰」。
勾選實際需要的API。
儲存。

建議一個用途一把金鑰

不要把同一把金鑰同時用於：

官方網站
測試網站
手機App
後端伺服器
外包廠商
不同客戶網站

較好的方式是依照系統與環境分開：

正式網站金鑰
測試網站金鑰
後端伺服器金鑰
Android App金鑰
iOS App金鑰

這樣某一把外洩時，不需要一次更換所有系統。

十四、如何設定費用警示？

Google Cloud預算：

設定步驟

開啟Google Cloud Billing。
選擇帳單帳戶。
進入「預算與快訊」。
建立預算。
選擇監控的專案或服務。
設定預算金額。
設定警示門檻。
確認通知收件者。
儲存。

Google Cloud預算可依實際支出或預測支出觸發電子郵件通知，也可搭配Pub/Sub進行自動化處理。

預算警示不等於自動停扣

這是非常重要的觀念。

預算預設功能主要是「通知」，不是信用卡刷卡上限，也不會在達到金額後自動停止所有服務。

若自行設定達到預算後停用帳單，可能會終止專案內所有Google Cloud服務，包括免費服務，造成正式網站或系統全面中斷。

因此，自動停用帳單應由熟悉系統架構的人員評估，不適合在不了解影響時直接啟用。

十五、如何限制 API 用量？

除了費用預算，還可調整API配額。

常見配額包括：

每日要求數
每分鐘要求數
每位使用者每分鐘要求數
特定API方法配額

設定前先了解正常尖峰用量，避免限制過低造成：

地圖無法載入
報名高峰地址查詢失敗
招生系統大量使用者報錯
排程中斷
App功能不穩定

Google提醒，配額限制可能存在執行延遲，因此不能把配額當成精確的帳單上限。

較好的做法是同時使用：

API Key限制
API配額
帳單預算
費用警示
API監控
異常告警

十六、從 GitHub 刪除 API Key 就安全了嗎？

不夠。

如果API Key曾上傳到公開GitHub，即使刪除目前版本，仍可能存在於：

Git歷史紀錄
Fork
Pull Request
快取
搜尋引擎
自動掃描工具
其他人的本機複本

因此正確處理方式是：

先輪替金鑰。
刪除或限制舊金鑰。
從目前程式碼移除。
清理Git歷史。
檢查Fork及部署環境。
改用環境變數或Secret Manager。
檢查是否有其他憑證一起外洩。

只清除Git歷史，不能讓已被複製的舊金鑰失效。

十七、API Key 應該放在哪裡？

前端網站

某些服務，例如Google Maps JavaScript API，需要在瀏覽器端使用API Key。這類金鑰可能會被使用者看到，因此安全重點不是「完全隱藏」，而是：

限制允許的網站
限制可呼叫的API
設定合理配額
監控異常使用
不與後端高權限用途共用

後端系統

後端金鑰不應直接寫在公開程式碼中，可放在：

環境變數
Secret Manager
主機祕密設定
CI/CD Secret
權限受控的設定檔

Google官方建議不要將API Key直接嵌入程式碼，應存放在環境變數或原始碼目錄以外的檔案中。

URL參數

Google建議避免將API Key透過網址查詢參數傳送，因為網址可能出現在日誌、瀏覽紀錄或掃描結果中；服務支援時，應考慮使用x-goog-api-key標頭或官方用戶端程式庫。

十八、API Key 外洩會導致 Google 帳號被盜嗎？

一般標準API Key外洩，不等同Google帳號密碼外洩，通常不能直接登入Gmail或Google Cloud Console。

但是仍可能造成：

API配額被濫用
專案費用增加
特定API功能遭冒用
服務可用性受到影響
正常使用者遇到配額不足
公司品牌或系統被拿來進行不當請求

如果外洩的是服務帳戶JSON、OAuth權杖、重新整理權杖或Google帳號密碼，風險就可能遠高於一般API Key。

因此，先確認外洩憑證類型非常重要。

十九、企業網站與學校系統常見外洩位置

API Key常見外洩位置包括：

網頁HTML原始碼
JavaScript檔案
WordPress外掛設定
GitHub公開儲存庫
教學文章
系統操作截圖
Line或Email對話
共用Google文件
公開Notion頁面
前端設定檔
App安裝檔
錯誤日誌
網址參數
備份壓縮檔
離職人員電腦

學校網站常見風險

Google地圖金鑰沒有網域限制
外包廠商共用同一把金鑰
測試網站與正式網站使用同一把
學校管理員不知道Google Cloud專案在哪裡
專案只有離職人員有權限
沒有設定費用預算
API Key直接寫在公開程式碼
沒有建立數位資產清冊

招生與報名系統常見風險

地址查詢API完全沒有限制
報名高峰耗盡API配額
測試程式持續大量呼叫
機器人重複送出地址查詢
前後端使用同一把金鑰
外包公司保留金鑰副本
沒有記錄哪個系統使用哪把金鑰

二十、不同情況的處理方式

情況一：Google地圖API Key出現在網頁原始碼

前端地圖金鑰可被看到不一定代表系統遭入侵，但必須確認：

是否限制正式網站網域
是否只允許Maps相關API
是否設定合理配額
是否有異常使用量

若金鑰曾完全無限制，建議建立新金鑰並完成輪替。

情況二：後端API Key上傳到公開GitHub

應立即：

建立新金鑰。
更新伺服器Secret。
刪除舊金鑰。
清理Git歷史。
查看API使用量與帳單。
檢查是否有其他密碼一起外洩。

情況三：不知道哪些網站仍在使用舊金鑰

可先：

建立受限制的新金鑰。
從主要正式網站開始替換。
逐一測試地圖、地址及API功能。
檢查伺服器設定與部署環境。
選擇低流量時段刪除舊金鑰。
監控錯誤回報。

情況四：異常費用仍快速增加

優先阻止損失：

刪除或嚴格限制外洩金鑰。
停用遭濫用的API。
降低相關配額。
檢查是否存在其他憑證。
查看其他專案及雲端資源。
建立Google Cloud Billing支援案件。

情況五：服務帳戶JSON外洩

不要只刪除GitHub檔案。應：

停用或刪除該服務帳戶金鑰。
建立替代身分驗證方式。
檢查服務帳戶IAM權限。
查看Cloud Audit Logs。
輪替其他相關祕密。
檢查是否有資料被讀取或修改。

二十一、常見錯誤

1. 只從網站刪除金鑰文字

已外洩的金鑰可能早已被複製，應完成輪替或刪除。

2. 直接刪除但沒有替換

可能造成正式網站、App及報名系統中斷。

3. 建立新金鑰卻沒有設定限制

新金鑰仍可能再次被濫用。

4. 所有系統共用同一把金鑰

任何一個網站外洩，都可能影響全部服務。

5. 只設定預算警示

預算通常只會通知，不會自動停止費用。

6. 只查看信用卡帳單

應同時查看API使用量、專案、服務與SKU，才能找出費用來源。

7. 把API Key當成Google帳號密碼

兩者風險不同，處理方式也不同。

8. 刪除整個專案

若專案仍有正式系統、資料或其他服務，直接刪除可能造成重大中斷及資料損失。

SSL、HTTPS、SEO、個資與系統安全分開說明

SSL

SSL憑證用來驗證網站身分，並建立加密連線。

API Key外洩不代表SSL憑證外洩；更換API Key也不會自動更新SSL。

HTTPS

HTTPS保護資料在使用者與網站之間傳輸，但無法防止API Key被寫進公開JavaScript、GitHub或設定檔。

網站有HTTPS，不代表API Key一定安全。

SEO

API Key外洩通常不會直接造成Google搜尋排名下降。

但如果Google地圖、招生表單或網站功能因配額用完而失效，可能間接影響：

使用者體驗
頁面功能
表單轉換率
網站錯誤率
招生詢問成效

個資

一般API Key不一定能直接取得個資，但若搭配設定錯誤的資料庫、Firebase規則或後端API，可能擴大資料外洩風險。

招生系統應特別檢查：

報名資料
學生姓名
家長電話
電子郵件
身分證資料
緊急聯絡人
付款資訊

系統安全

API Key安全只是整體系統安全的一部分，還應檢查：

IAM權限
服務帳戶
OAuth憑證
資料庫權限
Secret管理
GitHub權限
主機帳號
離職人員權限
日誌與監控
備份及事件通報流程

FAQ：Google API Key外洩常見問題

API Key外洩後要立即刪除嗎？

若已經遭大量濫用，可以優先刪除或嚴格限制。但一般情況建議先建立新金鑰、完成系統替換與測試，再刪除舊金鑰，避免服務中斷。

只修改API Key限制就可以嗎？

限制可以降低風險，但已公開的金鑰不再是秘密。建議仍進行金鑰輪替。

API Key刪除後還會扣款嗎？

刪除後的新請求通常無法使用該金鑰，但刪除前已產生的用量可能延遲顯示。也要確認是否有其他金鑰、專案或付費資源。

關閉API後帳單會立即停止嗎？

關閉API可阻止新的相關呼叫，但帳務報表可能存在延遲，而且同一專案可能仍有其他付費服務。

預算設為一萬元，超過後會自動停止嗎？

預設不會。Google Cloud預算主要用於追蹤與通知，不是硬性消費上限。

API配額可以防止所有超額費用嗎？

不能保證。Google提醒配額執行可能有延遲，因此要預留緩衝並搭配其他監控。

網站前端的Google地圖金鑰一定會被看到嗎？

前端使用的金鑰可能被瀏覽器看到，因此必須設定HTTP Referrer網站限制及API限制，不能依賴隱藏程式碼。

API Key外洩會讓Gmail被盜嗎？

一般標準API Key通常不能直接登入Gmail，但可能造成API濫用、配額耗盡及額外費用。若外洩的是OAuth權杖、服務帳戶金鑰或帳號密碼，風險會更高。

API Key可以放在GitHub私人儲存庫嗎？

私人儲存庫風險較低，但仍不建議直接把正式金鑰寫入程式碼。應使用環境變數、GitHub Secrets或Secret Manager。

一把API Key可以給多個網站使用嗎？

技術上可能可以，但不建議不同客戶、環境及系統共用。分開管理更容易限制、監控與輪替。

Google會自動停用外洩API Key嗎？

Google可能偵測部分外洩憑證並發出警告或採取保護措施，但企業不能依賴自動偵測。發現外洩後仍應主動輪替、限制及檢查費用。

數位果子科技有限公司服務

Google Cloud帳單申訴、費用裁決及憑證安全警告，仍應由專案擁有者透過Google Cloud官方管道處理。數位果子科技有限公司不代替Google決定費用退款或申訴結果。

數位果子科技有限公司主要提供：

企業網站與學校網站建置
招生網站與活動網站規劃
線上報名系統建置
SSL憑證與HTTPS設定
網站主機搬遷與資料轉移
Google API Key使用位置盤點
Google Cloud專案與管理權限盤點
網站API限制及環境設定檢查
Google Search Console索引檢查
SEO內容與網站架構規劃
Google招生廣告投放
Facebook與Instagram社群廣告
招生頁與表單轉換流程改善
網站備份、個資與系統安全基礎檢查

企業、學校或補習班若擔心API Key綁定在離職人員帳號、網站程式碼公開、Google地圖費用異常，或不知道哪些系統正在使用Google API，可先進行網站、API與數位資產權限盤點。

數位果子科技有限公司
合作專線：0970-357-535
LINE：cherng65