Klasyfikuj każde ustawienie
Publiczna konfiguracja może obejmować nazwę wyświetlaną lub publiczny punkt końcowy. Ustawienia wrażliwe obejmują dane uwierzytelniające i materiały do podpisywania. Traktuj je inaczej przy wyborze sposobu przechowywania i uprawnień. Kod przeglądarki jest widoczny dla odwiedzających: zmienna osadzona w kompilacji frontendu jest publiczna niezależnie od swojej nazwy.
Nazwy dokumentów, nie tajemnice
Utrzymuj przykładową konfigurację z wyjaśnieniami i nieszkodliwymi zastępczymi wartościami. Waliduj wymagane wartości podczas uruchamiania i zgłaszaj brakującą nazwę zmiennej, nie wyświetlając jej zawartości. Zachowuj oddzielne ustawienia dla środowisk deweloperskiego, podglądowego i produkcyjnego. Przeglądaj zmiany konfiguracji z taką samą starannością jak kod.
Rotuj dostęp celowo
Podczas wymiany poświadczenia, zaktualizuj zależne usługi i zweryfikuj wynik, zanim unieważnisz starą wartość, jeśli dostawca obsługuje taką kolejność. Niezwłocznie unieważniaj ujawnione poświadczenia. Nie kopiuj całych plików środowiskowych do zgłoszeń ani logów; zamiast tego udostępniaj nazwy i zredagowane błędy.
APP_ENV=production
PUBLIC_SITE_URL=https://example.com
API_BASE_URL=https://api.example.com