O que é Secret?

Um valor cujo acesso precisa ser restrito

Secret é uma informação sensível utilizada por um sistema, como senha, token ou chave privada. O acesso a esse valor pode permitir autenticação, assinatura ou uso de recursos protegidos. Sua proteção depende de armazenamento, entrega e permissões adequados.

Uma integração pode conhecer publicamente o endereço de uma API e ainda exigir uma credencial privada para utilizá-la. O endereço informa onde chamar o serviço. A credencial pode permitir executar operações, dentro das permissões associadas a ela.

Nem toda chave tem a mesma finalidade. Alguns serviços oferecem identificadores publicáveis para uso no navegador, enquanto mantêm credenciais privadas no servidor. A classificação deve seguir a documentação, sem presumir que qualquer nome contendo “key” é secreto ou público.

Separar valor, armazenamento e uso

Um gerenciador de secrets pode limitar a recuperação do valor aos usuários e serviços autorizados e registrar esses acessos. Uma variável de ambiente pode fornecer o valor ao processo, mas você ainda precisa conferir as permissões de leitura do ambiente e dos registros da aplicação.

Arquivos locais com credenciais devem ficar fora do código compartilhado e ter acesso limitado. Um arquivo de exemplo pode documentar os nomes necessários com valores fictícios. Ignorar o arquivo no Git evita novos registros acidentais, mas não remove um valor que já entrou no histórico.

Um exemplo de integração

Colocar uma credencial em uma variável durante o build não garante que ela fique no servidor. Algumas ferramentas inserem valores nos arquivos distribuídos ao navegador, onde visitantes podem consultar o conteúdo. Confira os arquivos produzidos para impedir que uma credencial privada seja publicada junto da interface.

Permissões, duração e rotação

Uma credencial deve permitir apenas as operações necessárias ao seu uso. Separar ambientes e integrações facilita revogar um acesso sem afetar todos os demais. Credenciais com duração limitada podem reduzir o tempo de utilização de um valor exposto.

Rotação é a substituição planejada do valor e sua atualização nos consumidores. O processo precisa considerar a ativação da nova credencial e a revogação da antiga. Trocar apenas o arquivo local deixa o acesso anterior válido se o serviço ainda o aceitar.

Quando um secret aparece onde não deveria

Se uma credencial foi publicada, apagar a linha não basta. Revogue ou substitua o valor no serviço e confira os acessos associados, conforme as ferramentas disponíveis. Depois, corrija o caminho que causou a exposição.

Procure também nos logs e artefatos, sem reproduzir a credencial no relatório. O verbete de configuração explica como fornecer os parâmetros do sistema preservando a distinção entre valores públicos e sensíveis.

Aplicação na formação

Developer Workspace

Secrets exigem proteção ao configurar ferramentas, repositórios e serviços do ambiente de desenvolvimento.

Conhecer a formação →