Öffentliche Einstellungen und Geheimnisse trennen
Nur Werte für Browser-Code sollten den öffentlichen Variablenmechanismus des Frameworks verwenden. Datenbankzugänge, Signaturschlüssel und private API-Tokens bleiben serverseitig in der geschützten Hosting-Konfiguration.
Verwenden Sie nach Möglichkeit getrennte Dienste und Zugangsdaten für Nichtproduktionsumgebungen. Das begrenzt die Folgen eines Preview-Lecks und ermöglicht das Zurücksetzen von Testdaten ohne Auswirkungen auf Live-Nutzer.
Geltungsbereich und Rotation prüfen
Prüfen Sie, ob eine Variable für alle Deployments, nur eine benannte Umgebung oder einen bestimmten Branch beziehungsweise eine Vorschau gilt. Erstellen oder starten Sie das Deployment nach einer Änderung neu, wenn die Plattform es verlangt; laufende Prozesse können alte Werte behalten.
Sperren Sie offengelegte Zugangsdaten beim ausstellenden Dienst, aktualisieren Sie die Hosting-Konfiguration und deployen Sie neu. Geben Sie Werte nicht in Logs aus; prüfen Sie Vorhandensein und Format ohne das Geheimnis offenzulegen.