Cosa impari
- Cos'e un file .env, perche .gitignore non e negoziabile e chiavi separate per ambiente
- Cosa fare se hai gia pubblicato un segreto: farlo ruotare, perche cancellare il commit non basta
- Le deploy key Convex e cifrare le chiavi API utente a riposo invece di memorizzarle in chiaro
Panoramica
Ora destreggi chiavi per Clerk, Convex, presto Stripe e probabilmente un provider di IA. Ognuna e una chiave verso qualcosa di prezioso - i tuoi servizi, il tuo denaro, i dati dei tuoi clienti. Gestirle bene non e opzionale appena denaro reale e veri utenti sono in gioco. Questa lezione e la versione rigorosa dell'abitudine dei segreti che hai cominciato nel Corso 1: dove vivono i segreti, come tenerli fuori da Git per sempre, la procedura d'emergenza quando uno scappa, come le deploy key danno accesso al tuo hosting senza esporre le tue credential principali, e perche ogni chiave che i tuoi utenti ti danno deve essere cifrata, non memorizzata in testo leggibile.
Cosa imparerai
Imparerai cos'e un file env e perche esiste, come usare .gitignore perche un segreto non possa mai essere committato, perche ogni ambiente riceve le sue chiavi, i passi esatti di recupero se hai gia pubblicato un segreto, come funzionano le deploy key Convex e dove vanno, e come cifrare a riposo le chiavi API fornite dagli utenti, perche una fuga di database non metta le credential dei tuoi clienti nelle mani degli attaccanti.
Prerequisiti
Le basi dei segreti del Corso 1 (chiavi in .env, .env in .gitignore) e un'app multi-servizio dalla parte precedente di questo corso, perche il rischio cresce con ogni integrazione che aggiungi. La pagina dei fondamenti su cos'e un file env copre le basi assolute se vuoi averle in dettaglio prima di andare oltre.
Un file .env memorizza secret come le chiavi API fuori dal tuo codice, così non vengono mai pubblicati. Impara cos'è e come tenerlo al sicuro.
GitHub è un sito web che conserva i tuoi progetti Git online per il backup, la collaborazione e il deploy. Impara cos'è e come usarlo.
Un repository è la cartella del tuo progetto tracciata da Git, e il controllo di versione è la rete di sicurezza che registra ogni modifica. Impara entrambi in parole semplici.
I token sono i pezzi di testo in cui i modelli di IA leggono e vengono fatturati. Impara cos'è un token, perché conta per i costi e come differisce da un token di sicurezza.
Il problema
I segreti trapelati sono una delle catastrofi da principiante piu frequenti e costose, e arrivano in silenzio. Incolli una chiave in un file per testare qualcosa, la committi senza riflettere, pubblichi su GitHub, e ora quella chiave e per sempre nella cronologia del tuo repository - leggibile da chiunque possa vedere il repo, e in pochi minuti raschiata da bot che frugano GitHub pubblico esattamente per questo. Persone con una chiave Stripe o cloud trapelata si sono svegliate davanti a migliaia di dollari di addebiti fraudolenti. E memorizzare le chiavi API dei tuoi utenti in chiaro significa che una sola violazione di database espone tutte le credential clienti in una volta. Niente di tutto cio richiede sfortuna. Richiede un commit distratto. Questa lezione rende la distrazione strutturalmente difficile.
Commenti
Caricamento dei commenti.
Pubblica un commento