https://webhosting-glossar.de/index.php?action=history&feed=atom&title=Umgebungsvariablen%2C_.env_und_Zugangsdaten_sch%C3%BCtzen 2026-10-23T09:47:12Z Versionsgeschichte dieser Seite in HOSTING-STATION55 - Webhosting Wiki / FAQ MediaWiki 1.34.1 https://webhosting-glossar.de/index.php?title=Umgebungsvariablen,_.env_und_Zugangsdaten_sch%C3%BCtzen&diff=715&oldid=prev 2026-09-20T20:07:15Z

<p>Ausführlichen Kundenleitfaden ergänzt</p> <p><b>Neue Seite</b></p><div>Webanwendungen benötigen häufig Datenbankpasswörter, API-Schlüssel und SMTP-Zugangsdaten. Diese Werte dürfen weder im öffentlichen Dokumentenstamm noch in Git, Protokollen, Fehlermeldungen oder Support-Screenshots erscheinen.<br /> <br /> == Geeignete Ablage ==<br /> <br /> Verwenden Sie die Konfigurations- oder Secret-Verwaltung des eingesetzten Systems. Falls eine Anwendung eine &lt;code&gt;.env&lt;/code&gt;-Datei benötigt, sollte sie außerhalb des öffentlich erreichbaren Dokumentenstamms liegen. Ist das nicht möglich, muss der direkte Abruf zuverlässig gesperrt und getestet werden.<br /> <br /> == Sichere Einrichtung ==<br /> <br /> # Erstellen Sie für jede Anwendung eigene Zugangsdaten.<br /> # Gewähren Sie nur die tatsächlich benötigten Rechte.<br /> # Legen Sie Secrets nicht in Quellcode oder Repository ab.<br /> # Begrenzen Sie Dateirechte auf den Anwendungsbenutzer.<br /> # Prüfen Sie, ob Backup, Fehlerprotokoll oder Diagnoseausgabe Secrets kopiert.<br /> # Dokumentieren Sie Ablauf und Rotation, aber niemals den geheimen Wert.<br /> <br /> Auf einem Webspace mit eigenem Benutzer kann für eine nicht gemeinsam genutzte Secret-Datei beispielsweise ein restriktiver Modus wie &lt;code&gt;600&lt;/code&gt; geeignet sein. Prüfen Sie vorher, unter welchem Benutzer PHP läuft; falsche Rechte können die Anwendung sperren.<br /> <br /> == Wenn ein Secret veröffentlicht wurde ==<br /> <br /> # Entfernen Sie den Wert aus öffentlich erreichbaren Stellen.<br /> # Widerrufen oder ändern Sie ihn sofort beim ausstellenden Dienst.<br /> # Suchen Sie in Repository-Historie, Logs, Backups und Build-Artefakten.<br /> # Prüfen Sie Zugriffs- und Nutzungsprotokolle auf Missbrauch.<br /> # Erstellen Sie einen neuen Wert mit minimalen Rechten.<br /> <br /> Nur das Löschen aus dem letzten Git-Commit macht ein zuvor veröffentlichtes Secret nicht wieder geheim.<br /> <br /> == Verwandte Artikel ==<br /> <br /> * [[Zugangsdaten sicher an Dienstleister übergeben]]<br /> * [[Git-Deployment auf Webspace und Server]]<br /> * [[Website oder Hosting-Konto kompromittiert - Sofortmaßnahmen]]<br /> <br /> [[Category:Entwicklung und Deployment]]<br /> [[Category:Sicherheit und Kontoschutz]]</div>

Station55