يُفضّل تخزين البيانات الحساسة، مثل كلمات المرور، في ملفات .env، وإن أمكن، ليس في مستودعات Git. مع ذلك، ربما حدث هذا لكلٍّ منا مرةً واحدةً على الأقل عن طريق الخطأ: نشر سكربت JS API لخرائط جوجل بسرعة على GitHub Gists (بصيغة "عامة")، ثمّ نسيان إخفاء مفتاح واجهة برمجة تطبيقات الخرائط الخاص بنا.
لحسن الحظ ، بدأ فريق Google Cloud Platform Trust & Safety اليقظ مؤخرًا في النقر بأصابعك باستخدام رسائل البريد الإلكتروني الآلية التي لا تقوم فقط بمسح موقع github.com بحثًا عن مفاتيح API العامة على نطاق واسع:
عزيزي الزبون،
لقد اكتشفنا مفتاح Google API يمكن الوصول إليه بشكل عام ومرتبط بمشروع Google Cloud Platform التالي:
...........................
ثم حان وقت العمل على أبعد تقدير. لحسن الحظ ، حتى جيت يمكن مسامحته. يستخدم سكربت bash التالي منظف BFG repo الرائع (لا ، هذا لا يعني السلاح من DOOM) ويزيل مفتاح API في السطر 5 من مستودع Git في السطر 6:
0cb06f6f637d40148ce07994959944db
ملاحظة: مفتاح API في السطر 5 مزحة.