01
各設定を分類してください
公開設定には表示名や公開エンドポイントを含めることができます。機密設定には資格情報や署名用の素材が含まれます。ストレージや権限を選択する際には、それらを区別して扱ってください。ブラウザのコードは訪問者に見えます：フロントエンドビルドに埋め込まれた変数は、その名前に関わらず公開されます。
02
秘密ではなく、文書で名前を管理する
説明と無害なプレースホルダーを含む例示設定を維持してください。起動時に必要な値を検証し、内容を表示せずに変数名の欠落を報告します。開発用、プレビュー用、そして本番用の設定を区別して保管してください。設定変更はコードと同じ注意でレビューしてください。
03
アクセスは意図的にローテーションする
資格情報を置き換える場合、依存するサービスを更新し、プロバイダーがその順序をサポートしている場合は古い値を無効化する前に結果を確認してください。漏洩した資格情報は迅速に無効化してください。環境ファイル全体をチケットやログにコピーせず、名前やマスクされたエラーのみを共有してください。
APP_ENV=production
PUBLIC_SITE_URL=https://example.com
API_BASE_URL=https://api.example.com