API-ключи в self-hosted: 7 мест, где секреты утекают чаще всего

API-ключи в self-hosted: 7 мест, где секреты утекают чаще всего

Потерять ключ в self-hosted проще, чем кажется: он живёт в .env, попадает в логи, коммиты, бэкапы и чужие shell history. Дальше начинается классика — один «временный» доступ остаётся навсегда, а потом удивляемся, почему аккаунт внезапно стал общим.

Правила без магии:
— храните секреты в vault/secret manager, а не в репозитории;
— разделяйте ключи по сервисам и задачам;
— выдавайте минимальные права: если нужен read-only, не давайте write;
— не монтируйте секреты в контейнеры шире, чем нужно;
— маскируйте чувствительные значения в логах и UIs.

Отдельно проверьте инфраструктуру вокруг: резервные копии, CI/CD переменные, панели мониторинга, webhook-эндпоинты, тестовые стенды и доступы админов. Самый частый провал — секрет «безопасно» убрали из приложения, но он остался в бэкапе и в артефактах сборки. Контроль над стеком — это контроль над прибылью.

Минимальный рабочий стандарт: ротация ключей, ревок при увольнении/смене подрядчика, разные токены на dev/stage/prod, и аудит того, кто вообще может читать secrets в кластере. Владей своим софтом, а не арендуй его.