Env-файл

Есть люди, у которых весь день работают боты с одной задачей: сканировать публичный код и искать секреты, которые кто-то забыл спрятать. Они находят утекший ключ, и через несколько минут уже тратят твои деньги. Этот файл не дает тебе попасть в их список.

Вот какую проблему он решает. Твоему коду нужны чувствительные данные, чтобы работать:

• ключи API (доказательство, что твоему AI можно заказывать у окна приложения)
• пароли
• логины к базе данных

Но сам код часто становится публичным и лежит на GitHub, где его может прочитать весь интернет. Поэтому если ты пишешь пароль прямо в коде, ты как будто приклеил ключ от дома к входной двери и выложил адрес онлайн. Плохо.

Так что секреты не кладут в код. Они лежат в отдельном файле сбоку, который никогда никуда не отправляют. Этот файл называется .env (читается "дот env", коротко от environment).

Запертый ящик.

Представь спектакль. Есть сценарий, а есть список актеров с их настоящими именами и домашними адресами.

• Сценарий раздают всем. Это твой код. Публичный, нормальный, его можно свободно шарить.
• Настоящие имена и адреса лежат в запертом ящике за сценой. Это твой .env. Никто вне здания его не видит.

В твоем коде никогда нет настоящего пароля. В нем есть только инструкция: "сходи возьми пароль из ящика". .env-файл — это и есть ящик, где лежит настоящее значение. Код указывает на секрет. .env и есть секрет.

Почему это правда умно, а не просто безопасно.

Поскольку секреты живут вне кода, один и тот же код запускается где угодно. Ты просто меняешь содержимое ящика:

1. На твоем ноутбуке в ящике лежат тестовые ключи.
2. На ноутбуке коллеги — его ключи.
3. На живом сервере — настоящие продакшен-ключи.

Один сценарий, разные ящики в каждом театре. Никому не нужно трогать код, чтобы поменять, какие секреты он использует. В этом весь трюк.

Одно правило, на котором люди обжигаются.

Повтори со мной:

.env-файлы никогда не коммитят и не пушат на GitHub.

Утекший ключ — классическая ошибка новичка, и она дорогая. Хорошая новость: инструменты помогают. Есть стандартная настройка "делай вид, что этого файла не существует" — файл .gitignore. Один раз вписываешь туда .env, и твоя машина времени просто отказывается сохранять или загружать этот ящик. Настроил и забыл.

Один момент, о который все спотыкаются в первый раз: точка в начале .env делает его скрытым файлом. По умолчанию ты не увидишь его в папках. Чтобы показать скрытые файлы:

• Mac: в Finder нажми Cmd + Shift + . (клавиша с точкой).
• Windows: открой File Explorer, зайди во View и включи "Hidden items".

Тебе не нужно писать все это с нуля. Когда AI настраивает тебе проект, он обычно сам создает .env и .gitignore и кладет ключи в нужное место. Просто зная, что это такое, ты поймешь, что происходит, когда твой агент говорит "я положу это в env-файл", а не будешь молча кивать.

Держи ключи в ящике. Держи ящик вне кода.