अपने एनवायरनमेंट वेरिएबल और सीक्रेट को कैसे सुरक्षित करें
AI से बने ऐप नियमित रूप से सीक्रेट लीक करते हैं — उन्हें क्लाइंट-साइड env वेरिएबल में डालकर, .env फ़ाइलें कमिट करके, या उन्हें बंडल में उजागर करके। ब्राउज़र में जो कुछ भी है वह सार्वजनिक है — सीक्रेट सिर्फ़ सर्वर-साइड ही रहने चाहिए।
चरण दर चरण
- 1
जानें कौन-से वेरिएबल सार्वजनिक हैं
NEXT_PUBLIC_, VITE_, या REACT_APP_ जैसे उपसर्ग ब्राउज़र तक शिप होते हैं। किसी सार्वजनिक उपसर्ग के पीछे कभी असली सीक्रेट न डालें — सिर्फ़ ग़ैर-संवेदनशील कॉन्फ़िग।
- 2
सीक्रेट को सर्वर-साइड रखें
API सीक्रेट, service-role की और टोकन को सिर्फ़-सर्वर एनवायरनमेंट वेरिएबल में रखें और उन्हें सिर्फ़ सर्वर कोड या सर्वरलेस फ़ंक्शन से एक्सेस करें।
- 3
.env फ़ाइलों को अनदेखा और साफ़ करें
.env और .env*.local को .gitignore में जोड़ें। अगर कोई सीक्रेट कभी कमिट हुआ था, तो उसे रोटेट करें और git इतिहास से साफ़ करें — वरना यह पुराने कमिट में बना रहता है।
- 4
स्कैन करें और सत्यापित करें
अपने डिप्लॉय किए बंडल और रिपॉज़िटरी को उजागर की के लिए स्कैन करें, और जो भी लीक हुआ उसे रोटेट करें।
इसे सिर्फ़ ठीक नहीं, सत्यापित भी कराना चाहते हैं?
इसे ठीक करना पहला क़दम है। ClearedToShip की समीक्षा पुष्टि करती है कि फ़िक्स सचमुच टिकता है और आपको लॉन्च के लिए एक हस्ताक्षरित, बीमित क्लियरेंस देती है। अर्ली एक्सेस में शामिल हों: