O cheie API ajunsă într-un commit e publică din momentul push-ului: boții scanează depozitele noi în minute. Ștergerea din repo nu o retrage, pentru că istoricul git și forkurile o păstrează. Singura reparație e rotirea.
Git păstrează fiecare versiune a fiecărui fișier. Un commit care șterge .env lasă versiunea anterioară accesibilă prin istoric, în orice clonă, fork sau oglindă. Scanerele atacatorilor extrag chei de cloud, token-uri de plăți și parole de baze de date din commit-uri noi în minute. Chiar și într-un depozit privat, oricine a avut acces vreodată are o copie. Ordinea e fixă: întâi rotești secretul, apoi cureți istoricul cu git filter-repo, apoi cauți cauza.
Local, în .env, ignorat de git, cu un .env.example commitat care listează cheile fără valori. În CI, în variabilele secrete ale platformei, mascate în loguri. Pe server, într-un EnvironmentFile systemd cu permisiuni 600 sau într-un manager de secrete citit la pornire. În Docker, un secret scris în ENV apare în docker inspect și în orice strat al imaginii; îl montezi ca fișier prin Docker secrets sau, la build, prin --mount=type=secret.
O cheie scursă care dă acces la date personale e o breșă de securitate în sensul GDPR: art. 33 cere notificarea ANSPDCP în 72 de ore de la constatare, iar art. 32 cere măsurile tehnice care ar fi prevenit-o. Un token de acces la SPV sau certificatul pentru e-Factura scurs înseamnă că un terț poate consulta sau emite facturi în numele firmei tale. Pentru entitățile înregistrate la DNSC sub OUG 155/2024, gestionarea criptografiei și a accesului e printre măsurile cerute de art. 11 din OUG 155/2024.
| Mediu | Locul corect | Interzis |
|---|---|---|
| Local, dezvoltare | .env ignorat de git, .env.example fără valori | Valori reale în .env.example sau în cod |
| CI/CD | Variabile secrete ale platformei, mascate în loguri | Secrete în fișierele de pipeline din repo |
| Docker build | --mount=type=secret | ARG sau ENV cu valori secrete |
| Docker runtime | Docker secrets montate ca fișier | ENV în Dockerfile sau în docker-compose commitat |
| Echipă | Vault, SOPS + age, managerul platformei | Chat, e-mail, documente partajate |
# .gitignore
.env
.env.*
!.env.example
# pre-commit
gitleaks protect --staged --redact# Dockerfile
RUN --mount=type=secret,id=npm_token \
NPM_TOKEN=$(cat /run/secrets/npm_token) npm ci --omit=dev --ignore-scripts
# build
docker build --secret id=npm_token,src=./npm_token.txt -t exemplu.ro/app .# /etc/exemplu/app.env (chmod 600, owner root)
DATABASE_URL=postgres://app:...@127.0.0.1/exemplu_db
# în unitatea systemd
EnvironmentFile=/etc/exemplu/app.envUn dezvoltator a commitat .env cu cheia de producție a unui procesator de plăți într-un depozit public de portofoliu. În câteva ore apăruseră încercări de tranzacții din alte țări. Cheia a fost rotită imediat; istoricul, curățat după.
Token-ul de acces la SPV era scris în ENV în Dockerfile și a ajuns în registrul de imagini al firmei, accesibil tuturor angajaților. A fost mutat în Docker secrets și rotit, iar accesul la registru a fost restrâns.
Rotești cheia la furnizor și verifici imediat jurnalul de utilizare pentru acțiuni străine. Apoi rescrii istoricul cu git filter-repo și forțezi push-ul, anunțând colaboratorii să recloneze. La final adaugi gitleaks în pre-commit și în CI. Dacă cheia dădea acces la date personale, evaluezi obligația de notificare.
Sunt acceptabile dacă fișierul din care vin are permisiuni 600 și e deținut de root, iar procesul rulează sub un utilizator dedicat. Rămân vizibile în /proc pentru root și în crash dump-uri. Pentru secrete critice, un manager de secrete cu citire la pornire și audit e mai bun.
ENV e scris în metadatele imaginii și ale containerului, vizibil prin docker inspect și în orice strat al imaginii. Docker secrets montează secretul ca fișier în memorie, în /run/secrets, doar în containerele care îl declară, fără să apară în imagine sau în loguri.
Un server de producție e atacat automat din primele minute după ce primește IP public, indiferent cât de mic e proiectul. Ghidul ordonează controalele după impact, de la accesul SSH până la răspunsul la incident, cu legislația din România care se aplică. Fiecare temă are o pagină dedicată, cu răspuns scurt, exemple și configurări.