Составьте перечень секретов

Для каждого укажите назначение, потребителей, права, способ доставки и процедуру замены. Разделяйте окружения и не используйте рабочие ключи в тестах.

Что проверить

  • Исключайте секреты из репозитория и журналов.
  • Выдавайте минимально необходимые права.
  • Проверяйте замену без потери доступа приложения.
  • Предусмотрите отзыв при подозрении на утечку.

Проверьте восстановление доступа

Команда должна знать, кто может заменить ключ и как приложение получит новое значение. Процедуру полезно отработать до реального инцидента.