Umgebungsvariablen, .env und Zugangsdaten schützen
Webanwendungen benötigen häufig Datenbankpasswörter, API-Schlüssel und SMTP-Zugangsdaten. Diese Werte dürfen weder im öffentlichen Dokumentenstamm noch in Git, Protokollen, Fehlermeldungen oder Support-Screenshots erscheinen.
Inhaltsverzeichnis
Geeignete Ablage
Verwenden Sie die Konfigurations- oder Secret-Verwaltung des eingesetzten Systems. Falls eine Anwendung eine .env-Datei benötigt, sollte sie außerhalb des öffentlich erreichbaren Dokumentenstamms liegen. Ist das nicht möglich, muss der direkte Abruf zuverlässig gesperrt und getestet werden.
Sichere Einrichtung
- Erstellen Sie für jede Anwendung eigene Zugangsdaten.
- Gewähren Sie nur die tatsächlich benötigten Rechte.
- Legen Sie Secrets nicht in Quellcode oder Repository ab.
- Begrenzen Sie Dateirechte auf den Anwendungsbenutzer.
- Prüfen Sie, ob Backup, Fehlerprotokoll oder Diagnoseausgabe Secrets kopiert.
- Dokumentieren Sie Ablauf und Rotation, aber niemals den geheimen Wert.
Auf einem Webspace mit eigenem Benutzer kann für eine nicht gemeinsam genutzte Secret-Datei beispielsweise ein restriktiver Modus wie 600 geeignet sein. Prüfen Sie vorher, unter welchem Benutzer PHP läuft; falsche Rechte können die Anwendung sperren.
Wenn ein Secret veröffentlicht wurde
- Entfernen Sie den Wert aus öffentlich erreichbaren Stellen.
- Widerrufen oder ändern Sie ihn sofort beim ausstellenden Dienst.
- Suchen Sie in Repository-Historie, Logs, Backups und Build-Artefakten.
- Prüfen Sie Zugriffs- und Nutzungsprotokolle auf Missbrauch.
- Erstellen Sie einen neuen Wert mit minimalen Rechten.
Nur das Löschen aus dem letzten Git-Commit macht ein zuvor veröffentlichtes Secret nicht wieder geheim.
