Секрет

Одни строки символов в твоем софте — безобидные бейджики с именем. А одна из них — мастер-ключ. Вся игра в том, чтобы этот мастер-ключ никогда не выбрался из сейфа.

Секрет — это любая строка, которая доказывает, что тебе разрешено делать что-то важное. Ключи API, пароли, токены доступа, логины от базы данных. Отдай такой секрет кому-то, и тот, у кого он окажется, сможет действовать от твоего имени, тратить от твоего имени и добираться до того, что принадлежит тебе.

Различие, которое тебя защищает: бейджик с именем против мастер-ключа.

• Твой username, ID аккаунта, email: это бейджики. Они говорят, кто ты. Их можно показывать. Людям они нужны, чтобы тебя найти.
• Твой API-ключ, пароль, токен доступа: это мастер-ключи. Они не сообщают, кто ты, они доказывают, что тебе можно, и открывают двери. Им место в сейфе.

Перепутать одно с другим — классическая ошибка. Люди аккуратно замазывают username, а потом вставляют API-ключ прямо в скриншот.

Правила короткие, и в них весь смысл сегодняшнего дня:

1. Секрет никогда не кладут в код. Именно для этого и существует запертый ящик — скрытый файл, где живут твои секреты. Код указывает на секрет. Но никогда не содержит его внутри.
2. Секрет никогда не отправляют в чат, скриншот, тикет поддержки или публичный репозиторий. Как только его увидели, считай его сгоревшим. (Помнишь ботов, которые только и делают, что сканируют публичный код в поисках утекших ключей? Вот за этим они и охотятся.)
3. Если секрет утек, ты не извиняешься, ты его ротируешь. Ротация значит: отменить старый ключ и сгенерировать новый. В момент, когда ты это сделал, утекшая строка превращается в тупик. Быстро и скучно лучше, чем медленно и с сожалениями.
4. Давай секрету минимум прав, который ему нужен. Эта мысль достаточно большая, чтобы стать отдельной темой. Она следующая.

С точки зрения AI: агенты хранят секреты, чтобы делать свою работу — твои ключи, чтобы действовать за тебя в разных сервисах. Это нормально и необходимо. Важно другое: агент держит их в сейфе, никогда не повторяет секрет обратно в чат и никогда не вставляет его в публичное место. Когда ты настраиваешь инструмент, секрет кладется в скрытый ящик, а ты проверяешь, что он никогда не печатается на экране.

Бейджик говорит, кто ты, и его можно показывать. Секрет доказывает, что тебе можно, и никогда не выходит из сейфа. Если он однажды выбрался наружу, убей его и сделай новый.