Bảo mật
secret
còn gọi là thông tin bí mật
Khóa API, mật khẩu, chứng chỉ ký — thứ lộ ra là mất quyền kiểm soát, không phải mất tiện lợi.
Quy tắc đầu tiên và không có ngoại lệ: secret không nằm trong mã nguồn. Đã đẩy lên kho mã thì coi như đã lộ, kể cả khi commit sau đó xoá đi — lịch sử vẫn giữ lại.
Khi lộ, việc đầu tiên là thu hồi và cấp lại, không phải xoá dấu vết. Khóa đã lộ mà chưa thu hồi thì vẫn dùng được dù đã xoá khỏi mọi nơi bạn nhìn thấy.