Senhas e tokens: mantenha os segredos fora do código
Controle onde credenciais são armazenadas, quem pode usá-las e como revogá-las.
Separe código e credenciais
Não inclua senhas, chaves privadas ou tokens em repositórios, imagens de containers ou logs. Um arquivo ignorado pelo Git ainda exige proteção no servidor e no processo de entrega. Variáveis de ambiente também podem ser expostas por ferramentas de diagnóstico.
Restrinja o acesso
Use um mecanismo de gestão de segredos adequado ao ambiente. Cada serviço deve receber apenas as credenciais e permissões necessárias. Separe produção e testes e registre quem pode criar, consultar, alterar e revogar um segredo.
Se vazar, revogue
Remover o valor do código não invalida a credencial nem apaga cópias existentes. Em caso de exposição, revogue ou rotacione o segredo, atualize os consumidores e investigue o uso. Mantenha um procedimento de rotação e responsáveis definidos antes de um incidente.