Як не злити токен перед git push: швидка перевірка секретів у коді

Де секрети ховаються найчастіше

Починайте не з усього репозиторію, а зі змінених файлів. Найчастіше проблема не в основному коді, а в місцях, які здаються допоміжними:

• .env, .env.local, .npmrc, .pypirc, .dockercfg;
• приклади конфігів і README;
• CI-файли, скрипти деплою, Dockerfile;
• тести, тестові дані, snapshots;
• тимчасові логи, debug-вивід, експортований JSON.

Небезпечний секрет не завжди виглядає як password. Це може бути URL вебхука, токен приватного реєстру, ключ для деплою, хмарні облікові дані, cookie сесії або тестовий ключ, який раптом має доступ до реального сервісу.

Що можна давати AI

Не вставляйте в AI реальний токен, навіть якщо саме його хочете перевірити. Краще замініть значення на форму:

• ghp_...redacted;
• sk_live_...redacted;
• https://hooks.example.com/...redacted;
• DATABASE_URL=postgres://user:REDACTED@host/db.

AI не потрібне повне значення секрету, щоб побачити ризик. Йому потрібні контекст, назви файлів, тип проєкту і форма підозрілого рядка.

Як перевірити знахідки локально

Після AI-перевірки все одно зробіть локальний контроль. Мінімальний набір:

git diff --cached
git status --short

Якщо в проєкті є сканер секретів, запускайте його до git push. Якщо немає, хоча б пошукайте типові слова у підготовленому diff:

git diff --cached | rg -i "token|secret|password|api[_-]?key|private|credential"

Це не гарантує повну безпеку, але ловить багато дурних помилок до того, як вони стануть інцидентом.

Якщо секрет уже потрапив у commit

Не починайте з видалення рядка і нового commit-а. Якщо секрет уже був у git history або у віддаленому репозиторії, правильний порядок інший:

1. Rotate: зробіть старий секрет недійсним.
2. Приберіть секрет із поточного коду.
3. Вирішіть, чи треба переписувати git history.
4. Перевірте логи доступу, якщо секрет давав реальні права.
5. Додайте правило, сканер або pre-commit hook, щоб помилка не повторилась.

Головне: видалений рядок не означає, що секрет більше не існує. Якщо хтось міг його побачити, його треба вважати скомпрометованим.

Коротко

Перевірка секретів перед відправленням у git - це не параноя, а нормальна гігієна. AI тут корисний як уважний другий погляд, але тільки якщо ви не даєте йому сам секрет.

Найкраща помилка з токеном - та, яку ви знайшли до git push.