Управление секретами

Настрой управление секретами.

Где НЕ хранить

• ❌ В коде / репозитории
• ❌ В Slack / email
• ❌ В дашборде без 2FA

Где хранить

• ✓ Platform secret store (Vercel/Render/Fly)
• ✓ 1Password / Bitwarden для команды
• ✓ AWS Secrets Manager / GCP Secret Manager
• ✓ HashiCorp Vault — энтерпрайз

Принципы

1. Принцип наименьших привилегий

• Каждый сервис имеет свой секрет
• Read-only там где можно
• Production-секрет = только production-сервис

2. Ротация

• API keys: каждые 90 дней
• Database passwords: 180 дней
• При уходе сотрудника — все ключи к которым имел доступ
• При подозрении на утечку — немедленно

3. .env.example в репо

Без значений, с комментариями где брать.

4. Detection — leak monitoring

• GitHub Secret Scanning (вкл по умолчанию)
• gitleaks / trufflehog в pre-commit hook
• Sentry / лог-агрегатор фильтрует *_KEY, *_TOKEN

5. При утечке

1. Немедленно revoke
2. Сгенерировать новый
3. Обновить везде где использовался
4. Аудит: что могло быть скомпрометировано
5. Notify юзеров если данные могли утечь
6. Post-mortem

Анти-паттерны

• ❌ Один .env файл расшарен по Slack
• ❌ Hardcoded fallback в коде
• ❌ Один root API key для всего