أين تُحفظ الإعدادات والأسرار؟

تعامل بشكل مختلف مع الإعدادات غير الحساسة، مثل عناوين الخدمات ومفاتيح الميزات، ومع بيانات الاعتماد مثل كلمات المرور ومفاتيح API والمفاتيح الخاصة. لا تضع بيانات اعتماد حقيقية داخل الشيفرة، ولا ترفع ملفات تحتوي على قيم حقيقية إلى مستودع مشترك. تحقق أولًا من آليات الإعداد التي يقبلها التطبيق.

إذا كانت الأدوات تدعم ذلك، فاحفظ القيم المحلية لكل مطور في ملف .env، وشارك ملف .env.example يحتوي على أسماء المتغيرات وقيمًا توضيحية فقط. أضف ملف .env الحقيقي إلى .gitignore وتأكد من أن Git لا يتتبعه مسبقًا. قاعدة الاستبعاد في Git ليست مخزنًا آمنًا ولا تمحو القيم من السجل السابق.

في أنظمة CI مثل GitHub Actions، سجّل بيانات الاعتماد عبر ميزة الأسرار لدى المزود بدلًا من كتابتها في ملفات سير العمل. قيّد الوصول بالمستودعات والبيئات والمهام التي تحتاجها، وامنح الرموز الصلاحيات المطلوبة فقط، وتجنب طباعة القيم. لا يضمن الإخفاء التلقائي في السجلات حجب كل قيمة محوّلة أو مخرجات الأوامر.

في الإنتاج، فضّل مخزن الأسرار لدى مزود الاستضافة أو السحابة، وحدد عمليات النشر والخدمات التي يمكنها قراءة كل قيمة. يستطيع Docker Compose تركيب الأسرار كملفات للخدمات المصرح لها صراحةً؛ وتختلف الإمكانات والقيود حسب المنصة، لذا راجع توثيق بيئة التشغيل الفعلية. عند توفر الدعم، فكّر في بيانات اعتماد قصيرة العمر مثل OIDC بدلًا من المفاتيح طويلة الصلاحية.

إذا كان من المحتمل ظهور سر في عملية إيداع أو سجل CI أو محادثة، فلا يكفي حذف النسخة الظاهرة. ألغِ المفتاح أو الرمز المتأثر أو بدّله أولًا، ثم راجع سجلات الوصول والاستخدام المحتمل. بعد ذلك، عالج سجل المستودع والسجلات حسب الحاجة، وشدّد ضوابط الوصول لمنع تكرار المشكلة.