Filtré una clave API y aprendí la aburrida lección

Pegué una clave API en un script, la comprometí en un repositorio que pensé que era privado y recibí un cargo que no reconocí tres días después. Nadie me hackeó. Dejé la puerta abierta y entró alguien.

La solución fue aburrida y total: rotar la clave, mover secretos a variables de entorno, agregar una verificación previa a la confirmación que captura una cadena con forma de clave antes de que salga de mi máquina. Nada de eso fue inteligente. Todo eso era necesario.

Lo que me sorprendió fue la velocidad. La carga incorrecta apareció más rápido de lo que hubiera notado un error tipográfico en mi propio código. Los bots buscan claves en repositorios públicos en cuestión de minutos, y un repositorio que se envía a cualquier lugar público es una filtración a punto de ocurrir.

Ahora trato cada clave como quemada en el momento en que toca un archivo que podría compartirse. Los diez segundos que lleva utilizar una variable en lugar de un literal se han amortizado más de una vez.

Nadie te advierte sobre esto porque no es una característica. Es higiene. Pero la cuenta es la misma ya sea que la infracción haya sido glamorosa o simplemente descuidada, y la mía fue del segundo tipo.