شرح صفوف ومحتوى الفقرة
ماذا تفعل إذا التزم أحد المطورين بالخطأ بملف .env حقيقي أو مفتاح سري ورفعه إلى GitHub؟ يظن المبتدئون أن إضافة التزام جديد يحذف الملف يكفي لحل المشكلة، لكن المفتاح السري يظل مكشوفاً بالكامل داخل الالتزام السابق في سجل git log! وتلتقط البرمجيات الآلية المفاتيح المنشورة خلال ثوانٍ.
اتبع خطة الاستجابة الفورية للحوادث بهذا الترتيب الصارم:
- إبطال المفتاح وتدويره فوراً
Revoke & Rotate: ادخل في اللحظة نفسها إلى لوحة تحكم المزود السحابي وعطّل المفتاح المتسرب وولّد مفتاحاً جديداً؛ إذ يُعتبر أي سر وصل إلى السحابة مخترقاً حكماً. - إيقاف تتبع الملف في الفهرس: نفّذ
git rm --cached .envوتأكد من وجوده في.gitignoreثم سجل الالتزام وارفعه.
Shell
# STEP 1: Revoke the leaked secret in the cloud provider!
# STEP 2: Untrack .env from Git while keeping local file:
git rm --cached .env
git add .gitignore
git commit -m "security: untrack .env after key rotation"
git push