آنچه باید بدانید
- صاحب و مصرف‌کنندهٔ کلید را بدون کپی رمز ثبت کنید.
- کلید خصوصی سمت سرور و با حداقل دسترسی نگه داشته شود.
- پیش از پاک‌سازی مخزن، کلید افشاشده را لغو یا تعویض کنید.
برای هر کلید، کاربرد و مسئول مشخص کنید
هر کلید API باید صاحب، سرویس، محیط و دلیل استفادهٔ روشن داشته باشد. در فهرست پیشنهادی، این اطلاعات را ثبت کنید و مقدار خودِ رمز را داخل جدول نگذارید. محیط توسعه و واقعی را جدا کنید و برنامهٔ مصرف‌کنندهٔ هر کلید را بشناسید. این کار هنگام تعویض، از جست‌وجوی پراکنده در سرورها وسط یک حادثه جلوگیری می‌کند.
دسترسی و عمر کلید را محدود کنید
راهنمای مدیریت اطلاعات محرمانهٔ OWASP دسترسی حداقلی، امکان لغو، تعویض و جلوگیری از ثبت سادهٔ رمز در لاگ را توصیه می‌کند. فقط عملیات موردنیاز اتصال را مجاز کنید. کلید خصوصی را در تنظیمات محافظت‌شدهٔ سمت سرور یا سامانهٔ مناسب مدیریت رمز نگه دارید و دریافت آن را محدود کنید. کلیدی که در جاوااسکریپت مرورگر ارسال می‌شود، با نام متغیر پیچیده محرمانه نمی‌ماند.
انتشار و عیب‌یابی را بررسی کنید
راهنمای انتشار Laravel هشدار می‌دهد حالت debug در محیط واقعی ممکن است تنظیمات حساس را نشان دهد. پوشهٔ عمومیِ صحیح را سرو کنید و تنظیمات خصوصی را بیرون مسیر وب نگه دارید. در فهرست انتشار پیشنهادی ما، صفحهٔ خطا، خروجی پشتیبانی و نمونهٔ لاگ نیز از نظر افشا بررسی می‌شوند. در مستند و تصویر آموزشی فقط جای‌نگهدار بی‌خطر قرار دهید.
هنگام افشا، کلید را جایگزین کنید
راهنمای دادهٔ حساس گیت‌هاب لغو یا تعویض کلید افشاشده را مقدم بر پاک‌سازی تاریخچهٔ مخزن می‌داند. حذف یک خط از آخرین commit، نسخهٔ کپی‌شدهٔ کلید را دوباره خصوصی نمی‌کند. کلید را جایگزین، مصرف‌کنندگان را به‌روز و سوابق دسترسی را بررسی کنید. پاک‌سازی احتمالی مخزن را با همکاران هماهنگ کنید و مقدار قدیمی را در تیکت حادثه پخش نکنید.
تعویض را پیش از وضعیت اضطراری تمرین کنید
تمرین پیشنهادی ما تعویض یک کلید آزمایشی کم‌خطر، تأیید عملکرد اتصال و ثبت ترتیب مراحل است. برای محیط واقعی، زمان هم‌پوشانی مجاز، لغو و راه تماس بازیابی را با عرضه‌کننده روشن کنید. پیش از پایان کار، کارهای زمان‌بندی‌شده را هم کنار درخواست وب بررسی کنید. شواهد تکمیل را با حذف مقدار رمز نگه دارید. برای بازبینی اتصال‌ها با توسعهٔ وب کیاوا تماس بگیرید. چک‌لیست امنیت VPS کنترل دسترسی سرور را تکمیل می‌کند.
منابع و مطالعهٔ بیشتر
گزارش این مطلب بر پایهٔ منابع اصلی زیر است. توصیه‌های اجرایی، راهنمای عمومی کیاوا هستند و باید با شرایط پروژه تطبیق داده شوند.