Cach truyen API key va secret an toan cho dong doi

Trong qua trinh phat trien, ban thuong xuyen can truyen API key, secret key, mat khau database, thong tin dang nhap server cho dong nghiep. Van de la lam sao chia se nhung thong tin nhay cam nay mot cach an toan.

Cac phuong phap chia se nguy hiem

Truoc tien hay xem nhung dieu tuyet doi khong nen lam. Dang ngac nhien la nhieu doi phat trien van dang su dung cac cach nay.

1. Commit vao Git

Commit file .env vao Git la loi pho bien nhat va nguy hiem nhat.

# Tuyet doi khong lam dieu nay
git add .env
git commit -m "them bien moi truong"
git push origin main

Mot khi secret da vao lich su Git, du xoa bang git rm thi no van ton tai trong lich su. Voi repository cong khai, bot tu dong phat hien secret trong vai giay.

2. Dan vao Slack/Discord

Dan API key truc tiep vao kenh chat cung rat nguy hiem. Tat ca nguoi co quyen truy cap kenh deu thay duoc, tim kiem tin nhan co the phat hien sau nay, va tin nhan van con du nhan vien da nghi viec.

3. Gui qua email

Email mac dinh khong duoc ma hoa. Tin nhan co the bi chan giua duong va thong tin xac thuc se nam vinh vien trong hop thu nguoi nhan.

Thiet hai thuc te khi lo API key

Lo API key khong chi la su co bao mat. No truc tiep dan den thiet hai tai chinh.

Vi du lo key AWS

Su co	Thiet hai
Lap trinh vien ca nhan lo AWS key	$6,000 tinh phi qua dem
Startup de lo tren GitHub cong khai	Hon $50,000 trong 3 ngay
Lo tu wiki noi bo doanh nghiep	Su co ro ri du lieu hang trieu do

Khi key cua AWS, GCP hoac Azure bi lo, ke tan cong tao tai nguyen tinh toan quy mo lon trong vai phut, thuong de dao tien dien tu.

Cach chia se API key an toan

Phuong phap 1: Ghi chu bi mat LOCK.PUB (chia se ngay lap tuc)

Cach thuc te nhat khi ban can truyen key cho dong nghiep ngay bay gio.

Quy trinh:

1. Tao ghi chu bi mat tren LOCK.PUB
2. Nhap API key va thong tin lien quan
3. Dat mat khau va thoi gian het han ngan (vi du: 1 gio)
4. Gui link qua Slack va mat khau qua tin nhan rieng

Uu diem:

• Tu dong xoa sau thoi gian het han
• Can mat khau moi xem duoc
• Luu tru ma hoa tren server
• Khong de lai key goc trong lich su chat

Phuong phap 2: Cong cu quan ly secret (cap doi)

Khi doi lon hon, cong cu quan ly secret chuyen dung tro nen thiet yeu.

Cong cu	Diem manh	Phu hop voi
HashiCorp Vault	Quan ly secret manh nhat	Doanh nghiep lon
AWS Secrets Manager	Tich hop he sinh thai AWS	Ha tang tap trung AWS
1Password Teams	Giao dien than thien voi dev	Startup, doi nho
Doppler	Dong bo bien moi truong tu dong	Doi DevOps

Phuong phap 3: Quan ly bien moi truong (pattern .env.example)

Bao gom file .env.example trong du an la thuc hanh chuan. Luon them .env vao .gitignore.

Thuc hanh tot nhat ve quan ly secret

1. Xoay vong key thuong xuyen

Loai key	Chu ky khuyen nghi
API key production	90 ngay
Mat khau database	60 ngay
Token dich vu	30 ngay
Key dev/test	Ngay khi co nguoi nghi viec

2. Tach key theo moi truong

Su dung key khac nhau cho moi truong development, staging va production.

3. Nguyen tac quyen toi thieu

Chi cap quyen toi thieu can thiet cho moi API key.

4. Tu dong hoa phat hien lo

Su dung cong cu nhu GitHub Secret Scanning, GitGuardian hoac TruffleHog de tu dong phat hien secret trong repository.

Quy trinh chia se nhanh voi LOCK.PUB

Onboard thanh vien moi

Khi lap trinh vien moi gia nhap, tong hop tat ca bien moi truong trong ghi chu bi mat voi han het han 24 gio.

Chia se key voi doi tac ben ngoai

Cap key rieng cho doi tac, truyen qua ghi chu bi mat voi han het han ngan, thu hoi key khi ket thuc hop tac.

Chia se key khan cap khi xu ly su co

Tao ghi chu bi mat voi han 1 gio, truyen mat khau qua dien thoai, xoay vong key sau khi xu ly xong su co.

Ket luan

Quan ly API key va secret la nen tang cua bao mat phat trien. Dan key vao Slack hay gui qua email co ve tien nhung mot lan lo co the tieu ton hang ngan den hang trieu.

Neu ban can chia se key voi dong nghiep ngay bay gio, hay thu ghi chu bi mat.

Tao Ghi Chu Bi Mat ->