Séparer réglages publics et secrets
Une URL d’API publique ou un indicateur de fonctionnalité peut être inclus dans le code navigateur ; un mot de passe, jeton privé ou clé de signature ne le peut pas. Le JavaScript livré au client est inspectable.
Utilisez la configuration d’environnement documentée pour les secrets côté serveur et distinguez les valeurs de développement, d’aperçu et de production. Ne commitez pas de véritables identifiants dans un dépôt, journal de build ou fichier d’exemple.
Renouveler et vérifier avec soin
Si un secret a été exposé ou si l’accès d’un membre change, remplacez l’identifiant auprès du service émetteur et mettez à jour l’hébergement. Un nouveau déploiement ou redémarrage peut être nécessaire ; suivez le fonctionnement de la plateforme.
Après la mise à jour, vérifiez l’application sans afficher le secret dans les journaux ou pages. Confirmez les intégrations, supprimez les anciennes valeurs et révisez régulièrement les accès à la configuration.