Data sensitif seperti kata sandi sebaiknya disimpan dalam file .env dan, jika memungkinkan, bukan di repositori Git. Namun, kemungkinan besar kita semua pernah mengalaminya setidaknya sekali secara tidak sengaja: dengan cepat mempublikasikan skrip API Google Maps JS yang bagus ke GitHub Gists (sebagai "publik") dan tanpa sengaja gagal menyembunyikan kunci API Maps pribadi kita sendiri.
Untungnya, tim Kepercayaan & Keamanan Google Cloud Platform yang penuh perhatian baru-baru ini mulai membantu Anda dengan email otomatis yang tidak hanya menelusuri kunci API publik di github.com dalam skala besar:
Pelanggan yang terhormat,
kami telah mendeteksi kunci Google API yang dapat diakses publik yang terkait dengan proyek Google Cloud Platform berikut:
...........................
Maka inilah saatnya untuk bertindak paling lambat. Untungnya, bahkan Git dapat dimaafkan. Skrip bash berikut menggunakan pembersih repo BFG yang hebat (tidak, ini tidak berarti senjata dari DOOM) dan menghapus kunci API di baris 5 dari repositori Git di baris 6:
0cb06f6f637d40148ce07994959944db
PS: Kunci API di baris 5 adalah lelucon.