API キーを漏洩して退屈な教訓を学んだ

API キーをスクリプトに貼り付け、非公開だと思っていたリポジトリにコミットしたところ、3 日後に身に覚えのない料金が請求されました。誰も私をハッキングしませんでした。ドアを開けっ放しにしていたら誰かが入ってきた。

修正は退屈で完全なものでした。キーをローテーションし、シークレットを環境変数に移動し、キーの形をした文字列をマシンから離れる前にキャッチするコミット前チェックを追加しました。どれも賢いものではありませんでした。どれも必要なことだった。

驚いたのはそのスピードです。不正な請求は、私自身のコードのタイプミスに気づくよりも早く現れました。ボットは数分以内にキーの公開リポジトリを収集し、公開された場所にプッシュされたリポジトリはリークが起こるのを待っています。

現在は、すべてのキーが共有可能なファイルに触れた瞬間に焼き付けられたものとして扱います。リテラルの代わりに変数を使用するのにかかる 10 秒は、何度も元が取れました。

これは機能ではないため、誰もこれについて警告しません。それは衛生です。しかし、違反が魅力的なものであったとしても、単なる不注意であったとしても、請求されるのは同じであり、私の場合は2番目の種類でした。