Выбор ответа Junior Секреты и Vault спрашивают часто обновлено
Секрет утёк в git
Вопрос
Разработчик запушил токен платёжного API в публичный репозиторий и через 10 минут удалил коммит force push. Что делать в первую очередь?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Отозвать токен и выпустить новый. Публичные репозитории сканируют боты за минуты, а коммит мог остаться в форках, кешах и у тех, кто успел склонировать.
Варианты ответа
- Ничего: коммит удалён force push, токен больше нигде не доступен
- Сделать репозиторий приватным, чтобы закрыть доступ к истории
- Переписать историю через git filter-repo и на этом закончить
- Отозвать токен и выпустить новыйправильный ответ
Разбор
Публичные репозитории сканируют боты за минуты, а коммит мог остаться в форках, кешах и у тех, кто успел склонировать. Единственная надёжная мера отзыв и перевыпуск. Чистка истории и приватность полезны, но вторичны. Затем: проверить журналы использования токена и поставить сканер секретов в pre-commit и CI.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.