GI

General iT - ваш мир высоких технологий

IT и технологии · 6 ноября 2026 г.

Открыть канал в MAX

🛠 Удалить API-ключ из кода недостаточно

🛠 Удалить API-ключ из кода недостаточно 4 ноября Truffle Security запустила программу отзыва утёкших ключей доступа. Исследователи находят их в публичном коде, пакетах и образах контейнеров, проверяют работоспособность и передают выпустившим их сервисам для отключения. Для владельца сайта это практическая история: ключ связывает магазин с почтовым сервисом, CRM или другим внешним API. Если он оказался в открытом доступе, удалить строку из последнего коммита мало — старая копия может сохраниться в истории репозитория или у тех, кто уже скачал код. При подтверждённой утечке сначала отзовите скомпрометированный ключ в выпустившем его сервисе. GitHub прямо рекомендует начинать с отзыва или замены секрета, а не с переписывания истории. Затем настройте интеграцию с новым ключом и проверьте её работу. Отключение старого доступа может прервать отправку писем или обмен данными, поэтому восстановлением должен заниматься ответственный за эту интеграцию специалист. Программа не означает, что любой опубликованный ключ уже отключён. Ждать стороннего уведомления вместо отзыва известного утёкшего ключа не стоит. Программа Truffle Security · Что делать с секретом в репозитории