Klasifikujte každé nastavení
Veřejná konfigurace může zahrnovat zobrazované jméno nebo veřejný endpoint. Citlivá nastavení zahrnují přihlašovací údaje a materiály pro podepisování. Zacházejte s nimi odlišně při výběru úložiště a oprávnění. Kód prohlížeče je viditelný návštěvníkům: proměnná vložená do frontendové sestavy je veřejná bez ohledu na její název.
Dokumentujte názvy, ne tajemství
Udržujte příklad konfigurace s vysvětleními a neškodnými zástupnými hodnotami. Ověřte požadované hodnoty při spuštění a nahlaste chybějící název proměnné, aniž by se zobrazil její obsah. Udržujte vývojová, náhledová a produkční nastavení odlišná. Prověřujte změny konfigurace se stejnou pečlivostí jako kód.
Rotujte přístup úmyslně
Při výměně přihlašovacích údajů aktualizujte závislé služby a ověřte výsledek před odvoláním staré hodnoty, pokud poskytovatel podporuje tento postup. Okamžitě odvolávejte odhalené přihlašovací údaje. Nekopírujte celé soubory prostředí do tiketů nebo protokolů; sdílejte místo toho názvy a cenzurované chyby.
APP_ENV=production
PUBLIC_SITE_URL=https://example.com
API_BASE_URL=https://api.example.com