Jak bezpečně spravujete tajemství a přihlašovací údaje?

Question

Accepted Answer

**Tajemství** (API klíče, hesla, tokeny, šifrovací klíče) musí být spravovány bezpečně — nikdy nesmí být natvrdo zakódovány v kódu nebo zapsány do správy verzí, ale musí být uloženy a přístupovány bezpečně. Špatná správa tajemství je běžným a vážným zdrojem porušení bezpečnosti.

## Základní pravidlo: nikdy nejsou natvrdo zakódovány nebo commity tajemství

```text
❌ NEVER hardcode secrets in source code or commit them to Git:
  → committed secrets are in the repo HISTORY (exposed even if "removed" later)
  → public repos / leaks expose them to attackers (bots scan GitHub for keys constantly)
  → a TOP cause of breaches (leaked AWS keys, database passwords, API tokens)
⚠️ If a secret IS committed/leaked → ROTATE it immediately (it's compromised)
```

## Jak správně spravovat tajemství

```text
✓ ENVIRONMENT VARIABLES → inject secrets at runtime (not in code); keep .env OUT of Git
  (.gitignore) — basic approach
✓ SECRETS MANAGERS → HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, etc.:
  → centralized, encrypted, access-controlled, audited, rotatable secret storage
  → the robust approach for production (fetch secrets at runtime)
✓ Cloud/platform secret stores; CI/CD secret stores (for pipeline secrets)
```

## Osvědčené postupy

```text
✓ LEAST PRIVILEGE — secrets grant only the access needed
✓ ROTATE secrets regularly (and immediately if leaked); prefer SHORT-LIVED credentials
  (e.g. temporary tokens, OIDC) over long-lived static keys
✓ Audit secret access; encrypt secrets at rest; don't LOG secrets
✓ SCAN for committed secrets (git-secrets, scanners in CI) to catch leaks early
✓ Separate secrets per environment (dev/staging/prod)
```

## Proč je to důležité

Rozdělení toho, jak bezpečně spravovat tajemství, je důležité, protože **špatná správa tajemství je běžným a vážným zdrojem porušení bezpečnosti**, takže jde o cenné a prakticky kritické bezpečnostní znalosti.

**Základní pravidlo** — **nikdy nejsou natvrdo zakódovány tajemství v kódu nebo commity do správy verzí** — je nezbytné, protože commité tajemství jsou v historii repozitáře (vystaveny i když jsou později "odstraněny"), veřejné repozitáře a úniky je vystavují útočníkům (kteří neustále prohledávají GitHub na klíče), což uniknutá tajemství (AWS klíče, hesla databází, API tokeny) činí **hlavní příčinou skutečných porušení**.

Rozdělení, že **uniknutá tajemství musí být ihned obměněna** (jsou kompromitována, jakmile jsou vystavena), je kritické znalosti.

Rozdělení toho, jak **správně spravovat tajemství** — **proměnné prostředí** (vkládání tajemství za běhu, udržování `.env` souborů mimo Git — základní přístup), **správci tajemství** (Vault, AWS Secrets Manager, atd. poskytující centralizované, šifrované, řízené přístupem, auditované, obměnitelné úložiště — robustní přístup do produkce, načítání tajemství za běhu), a úložiště platforem/CI — je nezbytné pro správné manipulaci s tajemstvím.

Rozdělení **osvědčených postupů** — nejmenší privilege (tajemství udělující minimální přístup), **pravidelná obměna tajemství** a ihned při úniku, upřednostňování **krátkodobých přihlašovacích údajů** před dlouhodobými statickými klíči (moderní osvědčený postup), auditing přístupu, neprotokolování tajemství, **skenování na commité tajemství** (zachycování úniků včas), a oddělení tajemství na prostředí — odráží komplexní správu tajemství.

Správa tajemství je oblast s vysokým rizikem, kde běžná chyba (natvrdo zakódovávání/commity tajemství) způsobuje velké porušení, zatímco správná správa chrání kritické přihlašovací údaje.

Protože špatná správa tajemství je běžným, vážným zdrojem porušení bezpečnosti a správná správa (nikdy nenatvrdo zakódovávání/commity, používání proměnných prostředí nebo správců tajemství, obměna, krátkodobé přihlašovací údaje, skenování) chrání kritické přihlašovací údaje, a protože pochopení toho je nezbytné pro bezpečnost, pochopení toho, jak bezpečně spravovat tajemství, je cenné, prakticky kritické bezpečnostní znalosti — řešení časté, škodlivé zranitelnosti (uniknutá tajemství), kde správná manipulace (nikdy necommity tajemství, používání správného úložiště, obměna, skenování) je nezbytné znalosti pro prevenci úniku přihlašovacích údajů, které způsobují mnoho skutečných porušení.