मैंने एक एपीआई कुंजी लीक कर दी और उबाऊ सबक सीख लिया

मैंने एक एपीआई कुंजी को एक स्क्रिप्ट में चिपकाया, इसे एक रेपो के लिए प्रतिबद्ध किया, मुझे लगा कि यह निजी है, और तीन दिन बाद मुझे एक चार्ज मिला जिसे मैं नहीं पहचान सका। किसी ने मुझे हैक नहीं किया. मैंने बस दरवाज़ा खुला छोड़ दिया और कोई अंदर आ गया।

समाधान उबाऊ और कुल था: कुंजी को घुमाएं, रहस्यों को पर्यावरण चर में ले जाएं, एक प्री-कमिट चेक जोड़ें जो मेरी मशीन छोड़ने से पहले कुंजी के आकार की स्ट्रिंग को पकड़ लेता है। इसमें से कोई भी चतुर नहीं था. यह सब जरूरी था.

जिस बात ने मुझे आश्चर्यचकित किया वह थी गति। जितना मैंने अपने कोड में टाइपो त्रुटि देखी थी, उससे कहीं अधिक तेजी से खराब चार्ज सामने आया। बॉट मिनटों के भीतर चाबियों के लिए सार्वजनिक रिपो को स्क्रैप कर देते हैं, और एक रिपो जिसे सार्वजनिक रूप से कहीं भी धकेल दिया जाता है वह एक रिसाव है जो होने की प्रतीक्षा कर रहा है।

अब मैं प्रत्येक कुंजी को उस क्षण जला हुआ मानता हूं जब वह किसी फ़ाइल को छूती है जिसे साझा किया जा सकता है। एक शाब्दिक के बजाय एक चर का उपयोग करने में लगने वाले दस सेकंड का भुगतान एक से अधिक बार हुआ है।

कोई भी आपको इसके बारे में चेतावनी नहीं देता क्योंकि यह कोई सुविधा नहीं है। यह स्वच्छता है. लेकिन बिल वही है चाहे उल्लंघन ग्लैमरस हो या सिर्फ लापरवाही, और मेरा उल्लंघन दूसरे प्रकार का था।