Klassifizieren Sie jede Einstellung
Öffentliche Konfiguration kann einen Anzeigenamen oder einen öffentlichen Endpunkt enthalten. Sensible Einstellungen umfassen Anmeldeinformationen und Signiermaterial. Behandeln Sie sie unterschiedlich bei der Auswahl von Speicher und Berechtigungen. Browser-Code ist für Besucher sichtbar: Eine in ein Frontend-Build eingebettete Variable ist unabhängig von ihrem Namen öffentlich.
Dokumentieren Sie Namen, keine Geheimnisse
Pflegen Sie Beispielkonfigurationen mit Erklärungen und harmlosen Platzhaltern. Überprüfen Sie erforderliche Werte beim Start und melden Sie einen fehlenden Variablennamen, ohne dessen Inhalt auszugeben. Halten Sie Entwicklungs-, Vorschau- und Produktionsumgebungen getrennt. Überprüfen Sie Konfigurationsänderungen mit derselben Sorgfalt wie Code.
Zugriffe bewusst rotieren
Beim Ersetzen eines Anmeldedatums aktualisieren Sie die abhängigen Dienste und überprüfen das Ergebnis, bevor Sie den alten Wert widerrufen, wenn der Anbieter diese Reihenfolge unterstützt. Widerrufen Sie freigelegte Anmeldedaten umgehend. Kopieren Sie keine vollständigen Umgebungsdateien in Tickets oder Protokolle; teilen Sie stattdessen Namen und geschwärzte Fehler.
APP_ENV=production
PUBLIC_SITE_URL=https://example.com
API_BASE_URL=https://api.example.com