Los datos confidenciales, como las contraseñas, deben estar en archivos .env y, si es posible, no terminar en repositorios de Git. Pero probablemente nos ha pasado a cada uno de nosotros al menos una vez por error: publicó rápidamente un buen script de la API de Google Maps JS en GitHub Gists (como "público") sin disfrazar accidentalmente nuestra propia clave privada de la API de Google Maps.
Afortunadamente, el atento equipo de confianza y seguridad de Google Cloud Platform ha comenzado recientemente a hacer tapping con correos electrónicos automatizados que no solo recorren github.com en busca de claves API públicas a gran escala.:
Estimado cliente,
hemos detectado una clave de API de Google de acceso público asociada con el siguiente proyecto de Google Cloud Platform:
...........................
Entonces es el momento de actuar a más tardar. Afortunadamente, incluso Git es perdonable. El siguiente script de bash usa el gran limpiador de repositorios BFG (no, esto no significa el arma de DOOM) y elimina la clave API en la línea 5 del repositorio de Git en la línea 6:
0cb06f6f637d40148ce07994959944db
PD: La clave API en la línea 5 es una broma.