Secrets in code
Gevoelige gegevens zoals API-sleutels, wachtwoorden, tokens of private sleutels die in de broncode of de versiegeschiedenis terechtkomen. Zodra een geheim in de git-geschiedenis staat, blijft het daar, ook als een latere commit het "verwijdert".
Een ontwikkelaar zet een sleutel "tijdelijk" in de code en vergeet hem, of een configuratiebestand met geheimen wordt per ongeluk gecommit. Wordt de repository gedeeld of openbaar, dan ligt het geheim op straat. git rm haalt het niet uit de geschiedenis. Bots doorzoeken GitHub in realtime en misbruiken sleutels binnen minuten. Verdediging: secret scanning (gitleaks, trufflehog) in CI en pre-commit-hooks, een gelekt geheim direct roteren alsof het gecompromitteerd is, een secrets manager gebruiken en bij een lek de geschiedenis opschonen (BFG, git filter-repo).