Classifiez chaque paramètre
La configuration publique peut inclure un nom affiché ou un point de terminaison public. Les paramètres sensibles incluent les identifiants et le matériel de signature. Traitez-les différemment lors du choix du stockage et des autorisations. Le code du navigateur est visible par les visiteurs : une variable intégrée dans une version frontend est publique, quel que soit son nom.
Documentez les noms, pas les secrets
Maintenez une configuration d'exemple avec des explications et des espaces réservés inoffensifs. Validez les valeurs requises au démarrage et signalez un nom de variable manquant sans en afficher le contenu. Gardez distinctes les configurations de développement, de prévisualisation et de production. Examinez les modifications de configuration avec le même soin que le code.
Faites tourner les accès délibérément
Lors du remplacement d'un identifiant, mettez à jour les services dépendants et vérifiez le résultat avant de révoquer l'ancienne valeur lorsque le fournisseur prend en charge cette séquence. Révoquez rapidement les identifiants exposés. Ne copiez pas l'intégralité des fichiers d'environnement dans les tickets ou les journaux ; partagez plutôt les noms et les erreurs masquées.
APP_ENV=production
PUBLIC_SITE_URL=https://example.com
API_BASE_URL=https://api.example.com