J'ai divulgué une clé API et j'ai appris la leçon ennuyeuse

J'ai collé une clé API dans un script, je l'ai validée dans un dépôt que je pensais privé et j'ai reçu des frais que je n'ai pas reconnus trois jours plus tard. Personne ne m'a piraté. J'ai juste laissé la porte ouverte et quelqu'un est entré.

Le correctif était ennuyeux et total : faites pivoter la clé, déplacez les secrets vers des variables d'environnement, ajoutez une vérification préalable à la validation qui capture une chaîne en forme de clé avant qu'elle ne quitte ma machine. Rien de tout cela n’était intelligent. Tout cela était nécessaire.

Ce qui m'a surpris, c'est la vitesse. La mauvaise charge est apparue plus rapidement que je n'aurais remarqué une faute de frappe dans mon propre code. Les robots récupèrent les dépôts publics pour les clés en quelques minutes, et un dépôt qui est poussé n'importe où dans le public est une fuite qui attend de se produire.

Je traite désormais chaque clé comme gravée au moment où elle touche un fichier qui pourrait être partagé. Les dix secondes nécessaires pour utiliser une variable au lieu d’un littéral ont été rentabilisées plus d’une fois.

Personne ne vous en avertit car ce n'est pas une fonctionnalité. C'est l'hygiène. Mais le projet de loi est le même, que la violation soit glamour ou simplement imprudente, et la mienne était du deuxième type.