Secret kezelés webalkalmazásban

Mit jelent a secret kezelés webalkalmazásban?

Secret minden olyan credential vagy kulcs, amely birtokában valaki érzékeny műveletet végezhet. A böngészőbe elküldött érték nem tekinthető titoknak: ami a kliensbundle-ban, HTML-ben vagy hálózati kérésben megjelenik, azt a felhasználó meg tudja vizsgálni.

Hogyan működik a gyakorlatban?

Szerveroldali secreteket környezeti vagy dedikált secret managerben tárolj, korlátozott hozzáféréssel és rotációs tervvel. CI log, hibakövető, git history és support screenshot is kiszivárgási csatorna lehet.

• Public/publishable kulcsot és valódi privileged secretet különböztesd meg.
• Service role vagy admin kulcs maradjon megbízható szerveroldali környezetben.
• Gitből törölt secretet kompromittáltnak kell tekinteni és rotálni.
• Adj minden integrációnak csak szükséges scope-ot.

Gyakorlati fejlesztői szemlélet

Projekt reviewnál készíts secret inventoryt: hol jön létre, hol tárolódik, ki fér hozzá, hol logolódhat, és hogyan rotálod incidenskor. Ezzel sokkal többet nyersz, mint fájlnevekre hagyatkozó `.env` mítoszokkal.

Gyakori hibák és félreértések

• NEXT_PUBLIC_ vagy hasonló kliensoldali env változóba privilegizált secretet tenni.
• A repositoryból való törlést rotáció helyett elégnek gondolni.
• Egyetlen teljes jogú API kulcsot minden környezetben újrahasználni.