Adoptez une discipline de fer pour vos clés d'API, certificats et mots de passe : barrières .gitignore, détection automatisée des fuites avec Gitleaks et protocole de révocation d'urgence.
Un secret poussé sur un dépôt GitHub public est scanné et exploité en moins de 60 secondes.
Outils automatisés (Gitleaks, TruffleHog) bloquant les commits accidentels de clés privées.
Tout secret ayant fuité dans l'historique Git doit être révoqué instantanément sans délai.
Variables injectées au vol par la plateforme cloud sans aucun fichier stocké sur le disque.
# 1. Fichier .gitignore strict à la racine du dépôt $ cat << 'EOF' >> .gitignore .env .env.* !.env.example *.pem *.key *.id_rsa EOF # 2. Scanner l'intégralité de l'historique du projet avec Gitleaks $ npx gitleaks detect --source . --verbose # ✅ No leaks found. Your repository is safe! # 3. Si un secret a fuité : le révoquer sur le champ auprès du service tiers (AWS, Stripe, BD) ! # Réécrire l'historique Git seul NE SUFFIT PAS car des robots copient les commits instantanément.
STRIPE_SECRET_KEY=sk_live_12345.git log -p et lire votre clé secrète ! Dès qu'une clé a été touchée par un git push, considérez-la comme publiquement compromise et révoquez-la immédiatement dans la console de votre fournisseur. git commit si vous avez malencontreusement laissé traîner un mot de passe ou une clé d'API dans votre code. | Niveau d'Infrastructure | Solution Recommandée | Mécanisme |
|---|---|---|
| Projet Personnel / PME | Fichiers .env protégés (chmod 600) | Variables chargées par dotenv / PM2 |
| PaaS Cloud (Vercel, Render) | Tableaux de bord d'environnement | Secrets chiffrés au repos et injectés au boot |
| Entreprise Multi-Serveurs | HashiCorp Vault / Doppler | Gestionnaire centralisé avec rotation automatique |
| Hyperscalers (AWS / GCP) | AWS Secrets Manager / GCP Secret Manager | Récupération par API IAM avec chiffrement KMS |