API-ключи в self-hosted инстансе: 5 ошибок, которые сливают доступ

API-ключи в self-hosted инстансе: 5 ошибок, которые сливают доступ

Секреты чаще всего утекают не из-за «взлома», а из-за удобства. Ключ в .env рядом с репозиторием, токен в логе, пароль в compose-файле — и вот уже любой бэкап, CI-артефакт или доступ к диску превращается в входную дверь.

Что делать вместо этого:
• хранить секреты в отдельном хранилище, а не в коде;
• выдавать приложению только те права, которые нужны для одной задачи;
• ротировать ключи по расписанию и после каждого подозрительного доступа;
• запрещать вывод секретов в stdout, debug-логи и crash-dumps;
• шифровать бэкапы и не складывать их в тот же контур, где живёт прод.

Для self-hosted это особенно критично: компрометация одного сервиса часто даёт доступ ко всей цепочке — от БД до рекламных кабинетов и webhook-эндпоинтов. Под капотом всё устроено проще, чем кажется: секрет должен быть доступен только процессу, которому он нужен, и только в момент работы.

Проверь инстанс по трём точкам: где хранятся ключи, кто может читать файлы конфигурации и куда уходит логирование. Если ответ хоть в одном месте «всем» — это не инфраструктура, а экспозиция.

Контроль над стеком — это контроль над прибылью.