Ich habe einen API-Schlüssel durchgesickert und die langweilige Lektion gelernt

Ich habe einen API-Schlüssel in ein Skript eingefügt, ihn in ein Repo übertragen, das ich für privat hielt, und drei Tage später eine Gebühr erhalten, die ich nicht kannte. Niemand hat mich gehackt. Ich ließ einfach die Tür offen und jemand kam herein.

Der Fix war langweilig und total: Drehen Sie den Schlüssel, verschieben Sie Geheimnisse in Umgebungsvariablen, fügen Sie eine Pre-Commit-Prüfung hinzu, die eine schlüsselförmige Zeichenfolge abfängt, bevor sie meinen Computer verlässt. Nichts davon war klug. Alles davon war notwendig.

Was mich überraschte, war die Geschwindigkeit. Die fehlerhafte Gebühr wurde schneller angezeigt, als mir ein Tippfehler in meinem eigenen Code aufgefallen wäre. Bots durchsuchen öffentliche Repos innerhalb von Minuten nach Schlüsseln, und ein Repo, das an eine öffentliche Stelle verschoben wird, ist ein Leck, das nur darauf wartet, passiert zu werden.

Ich behandle jetzt jeden Schlüssel als verbrannt, sobald er eine Datei berührt, die geteilt werden könnte. Die zehn Sekunden, die es braucht, um eine Variable anstelle eines Literals zu verwenden, haben sich mehr als einmal gelohnt.

Niemand warnt Sie davor, da es sich nicht um eine Funktion handelt. Es ist Hygiene. Aber die Rechnung ist die gleiche, egal ob der Verstoß glamourös oder einfach nur fahrlässig war, und bei mir handelte es sich um die zweite Art.