Séparer paramètres publics et secrets
Seules les valeurs destinées au navigateur doivent utiliser le mécanisme public du framework. Les identifiants de base, clés de signature et jetons privés restent côté serveur, dans la configuration protégée de l’hébergement.
Utilisez des services et identifiants distincts pour les environnements non productifs lorsque possible. Cela limite l’impact d’une fuite de prévisualisation et permet de réinitialiser les données de test sans affecter les utilisateurs.
Vérifier la portée et renouveler
Vérifiez si une variable s’applique à tous les déploiements, à un environnement nommé ou à une branche ou prévisualisation précise. Après modification, recréez ou redémarrez le déploiement si la plateforme l’exige ; un processus existant peut conserver ses anciennes valeurs.
Renouvelez les identifiants exposés auprès du service émetteur, mettez à jour l’hébergement et redéployez. Ne les affichez pas dans les journaux ; vérifiez présence et format sans révéler le secret.