Classifica ogni impostazione
La configurazione pubblica può includere un nome visualizzato o un endpoint pubblico. Le impostazioni sensibili includono credenziali e materiale di firma. Trattale in modo diverso quando scegli lo storage e i permessi. Il codice del browser è visibile ai visitatori: una variabile incorporata in una build frontend è pubblica, indipendentemente dal suo nome.
Documenta i nomi, non i segreti
Mantieni configurazioni di esempio con spiegazioni e segnaposto innocui. Valida i valori richiesti all'avvio e segnala un nome variabile mancante senza stampare il suo contenuto. Mantieni distinte le impostazioni di sviluppo, anteprima e produzione. Rivedi le modifiche alla configurazione con la stessa cura del codice.
Ruota gli accessi deliberatamente
Quando si sostituisce una credenziale, aggiornare i servizi dipendenti e verificare il risultato prima di revocare il vecchio valore, laddove il provider supporti tale sequenza. Revocare prontamente le credenziali esposte. Non copiare interi file di ambiente nei ticket o nei log; condividere invece nomi ed errori oscurati.
APP_ENV=production
PUBLIC_SITE_URL=https://example.com
API_BASE_URL=https://api.example.com