https://riverfount.dev.br/tags/secrets/ Recent content in Secrets on Blog do Riverfount Hugo -- 0.148.2 pt-BR Mon, 06 Apr 2026 00:00:00 +0000 https://riverfount.dev.br/posts/env_vars_secrets/ Mon, 06 Apr 2026 00:00:00 +0000 https://riverfount.dev.br/posts/env_vars_secrets/ <p>Existe uma busca no GitHub que retorna milhares de resultados úteis para um atacante: <code>filename:.env DB_PASSWORD</code>. Repositórios públicos com arquivos <code>.env</code> commitados por acidente, contendo senhas de banco, chaves de API, segredos JWT — tudo em texto claro, indexado, pesquisável.</p> <p>Não é incompetência. É o resultado natural de uma prática que parece razoável: colocar credenciais num arquivo, adicionar esse arquivo ao <code>.gitignore</code>, e confiar que o <code>.gitignore</code> vai proteger. Funciona até o dia que não funciona — um <code>git add .</code> no momento errado, um novo membro do time que clona o repo e cria o <code>.env</code> a partir do <code>.env.example</code> sem perceber que o exemplo já tem valores reais, ou um editor que cria arquivos temporários fora do padrão ignorado.</p>