Vazei uma chave de API e aprendi uma lição chata

Colei uma chave de API em um script, enviei-a para um repositório que considerei privado e recebi uma cobrança que não reconheci três dias depois. Ninguém me hackeou. Acabei de deixar a porta aberta e alguém entrou.

A correção foi chata e total: girar a chave, mover segredos para variáveis de ambiente, adicionar uma verificação de pré-confirmação que captura uma string em formato de chave antes mesmo de ela sair da minha máquina. Nada disso foi inteligente. Tudo isso foi necessário.

O que me surpreendeu foi a velocidade. A cobrança incorreta apareceu mais rápido do que eu teria notado um erro de digitação em meu próprio código. Os bots buscam chaves em repositórios públicos em questão de minutos, e um repositório que é enviado para qualquer lugar público é um vazamento esperando para acontecer.

Agora trato cada chave como queimada no momento em que toca em um arquivo que pode ser compartilhado. Os dez segundos necessários para usar uma variável em vez de um literal se pagaram mais de uma vez.

Ninguém avisa sobre isso porque não é um recurso. É higiene. Mas a conta é a mesma, quer a violação tenha sido glamorosa ou apenas descuidada, e a minha foi do segundo tipo.