き： 機密は、コードの外で守る。
この言葉の意味
APIキーやパスワードをコードへ直接書くと、共有や公開の際に漏れる危険があります。専用の管理手段を使い、読める人や処理を絞りましょう。環境変数に置いただけで安全になるわけではなく、ログへの出力や漏えい時の失効・交換まで考える必要があります。
たとえば、こんな場面で
理解を助けるための仮の場面です。
よくある場面
接続用の秘密を設定例へ実値のまま書いて共有すると、後から消しても履歴やコピー先に残るおそれがあります。削除だけでは露出を取り消せません。
こう変えてみる
秘密はソースと分け、環境の管理方法に従って渡します。漏れた場合はファイル削除だけで済ませず、秘密の失効や更新と影響の確認を行います。
自分に問いかける
秘密が履歴、ログ、共有画像へ入り込む経路はありませんか。
今日の実践ヒント
使っている認証情報の保管場所と、漏れた場合に無効化する方法を確認しましょう。