Sırları ve kimlik bilgilerini nasıl güvenli bir şekilde yönetirsiniz?

Question

Accepted Answer

**Sırlar** (API anahtarları, parolalar, belirteçler, şifreleme anahtarları) güvenli bir şekilde yönetilmelidir — hiçbir zaman kodda sabitlenmemeli veya sürüm kontrolüne işlenmemeli, bunun yerine güvenli bir şekilde depolanmalı ve erişilmelidir. Zayıf sırlar yönetimi, ihlallerin yaygın ve ciddi bir kaynağıdır.

## Kardinal kural: sırları hiçbir zaman sabitlemeyin veya işlemeyin

```text
❌ NEVER hardcode secrets in source code or commit them to Git:
  → committed secrets are in the repo HISTORY (exposed even if "removed" later)
  → public repos / leaks expose them to attackers (bots scan GitHub for keys constantly)
  → a TOP cause of breaches (leaked AWS keys, database passwords, API tokens)
⚠️ If a secret IS committed/leaked → ROTATE it immediately (it's compromised)
```

## Sırları doğru şekilde nasıl yönetin

```text
✓ ENVIRONMENT VARIABLES → inject secrets at runtime (not in code); keep .env OUT of Git
  (.gitignore) — basic approach
✓ SECRETS MANAGERS → HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, etc.:
  → centralized, encrypted, access-controlled, audited, rotatable secret storage
  → the robust approach for production (fetch secrets at runtime)
✓ Cloud/platform secret stores; CI/CD secret stores (for pipeline secrets)
```

## En iyi uygulamalar

```text
✓ LEAST PRIVILEGE — secrets grant only the access needed
✓ ROTATE secrets regularly (and immediately if leaked); prefer SHORT-LIVED credentials
  (e.g. temporary tokens, OIDC) over long-lived static keys
✓ Audit secret access; encrypt secrets at rest; don't LOG secrets
✓ SCAN for committed secrets (git-secrets, scanners in CI) to catch leaks early
✓ Separate secrets per environment (dev/staging/prod)
```

## Neden önemli

Sırları güvenli bir şekilde yönetmeyi anlamak önemlidir çünkü **zayıf sırlar yönetimi ihlallerin yaygın, ciddi bir kaynağıdır**, bu nedenle pratik açıdan kritik bir güvenlik bilgisidir.

**Kardinal kural** — **sırları hiçbir zaman kodda sabitlemeyin veya sürüm kontrolüne işlemeyin** — esastır çünkü işlenen sırlar depo geçmişinde bulunur (daha sonra "kaldırılsa" bile maruz kalır), genel depolar ve sızıntılar onları saldırganlarla ortaya koyar (kim sürekli GitHub'da anahtarlar arıyor), sızdırılan sırlar (AWS anahtarları, veritabanı parolaları, API belirteçleri) **gerçek ihlallerin başlıca nedeni** haline gelir.

Bunu anlamak ve **sızdırılan sırların hemen değiştirilmesi gerektiğini** (maruz kalındıktan sonra tehlikeye atılırlar) anlamak kritik bilgidir.

**Sırları doğru şekilde yönetmeyi** anlamak — **ortam değişkenleri** (sırları çalışma zamanında enjekte etmek, `.env` dosyalarını Git'ten uzak tutmak — temel yaklaşım), **sırlar yöneticileri** (Vault, AWS Secrets Manager, vb. merkezi, şifreli, erişim denetimli, denetlenebilir, döndürülebilir depolama sağlayan — güçlü üretim yaklaşımı, sırları çalışma zamanında getiren) ve platform/CI sırlar depoları — sırları doğru şekilde işlemek için gereklidir.

**En iyi uygulamaları** anlamak — en düşük ayrıcalık (sırlar minimal erişim verme), **sırları** düzenli olarak ve sızdırılırsa hemen **döndürme**, **uzun vadeli statik anahtarlar yerine kısa ömürlü kimlik bilgilerini tercih etme** (modern en iyi uygulama), erişimi denetleme, sırları günlüğe kaydetmeme, **işlenen sırları tarama** (sızıntıları erken yakalama) ve sırları ortam başına ayırma — kapsamlı sırlar yönetimini yansıtır.

Sırlar yönetimi, yaygın hatanın (sırları sabitleme/işleme) büyük ihlallere neden olduğu ve doğru yönetimin kritik kimlik bilgilerini koruduğu yüksek riskli bir alandır.

Zayıf sırlar yönetimi yaygın, ciddi bir ihlal kaynağı olduğundan ve doğru yönetim (sırları hiçbir zaman sabitleme/işleme, ortam değişkenleri veya sırlar yöneticileri kullanma, döndürme, kısa ömürlü kimlik bilgileri, tarama) kritik kimlik bilgilerini koruduğundan ve bunu anlamak güvenlik için gerekli olduğundan, sırları güvenli bir şekilde yönetmeyi anlamak pratik açıdan kritik güvenlik bilgisidir — sık görülen, hasar veren bir güvenlik açığını (sızdırılan sırlar) ele alır ve doğru işleme (sırları hiçbir zaman işleme, uygun depolama kullanma, döndürme, tarama) birçok gerçek ihlale neden olan kimlik bilgisi sızıntılarını önlemek için gerekli bilgidir.