Як не злити токен перед git push: швидка перевірка секретів у коді

Де секрети ховаються найчастіше

Починайте не з усього репозиторію, а зі змінених файлів. Найчастіше проблема не в основному коді, а в місцях, які здаються допоміжними:

• .env, .env.local, .npmrc, .pypirc, .dockercfg;
• приклади конфігів і README;
• CI-файли, deploy scripts, Dockerfile;
• тести, fixtures, snapshots;
• тимчасові логи, debug output, exported JSON.

Небезпечний секрет не завжди виглядає як password. Це може бути webhook URL, приватний registry token, deploy key, cloud credential, session cookie або тестовий ключ, який раптом має доступ до реального сервісу.

Що можна давати AI

Не вставляйте в AI реальний токен, навіть якщо саме його хочете перевірити. Краще замініть значення на форму:

• ghp_...redacted;
• sk_live_...redacted;
• https://hooks.example.com/...redacted;
• DATABASE_URL=postgres://user:REDACTED@host/db.

AI не потрібне повне значення секрету, щоб побачити ризик. Йому потрібні контекст, назви файлів, тип проєкту і форма підозрілого рядка.

Як перевірити знахідки локально

Після AI-перевірки все одно зробіть локальний контроль. Мінімальний набір:

git diff --cached
git status --short

Якщо в проєкті є secret scanner, запускайте його до push. Якщо немає, хоча б пошукайте типові слова у staged diff:

git diff --cached | rg -i "token|secret|password|api[_-]?key|private|credential"

Це не гарантує повну безпеку, але ловить багато дурних помилок до того, як вони стануть інцидентом.

Якщо секрет уже потрапив у commit

Не починайте з видалення рядка і нового commit-а. Якщо секрет уже був у git history або у віддаленому репозиторії, правильний порядок інший:

1. Rotate: зробіть старий секрет недійсним.
2. Приберіть секрет із поточного коду.
3. Вирішіть, чи треба переписувати git history.
4. Перевірте логи доступу, якщо секрет давав реальні права.
5. Додайте правило, scanner або pre-commit hook, щоб помилка не повторилась.

Головне: видалений рядок не означає, що секрет більше не існує. Якщо хтось міг його побачити, його треба вважати скомпрометованим.

Коротко

Перевірка секретів перед відправленням у git - це не параноя, а нормальна гігієна. AI тут корисний як уважний другий погляд, але тільки якщо ви не даєте йому сам секрет.

Найкраща помилка з токеном - та, яку ви знайшли до git push.