API キーやパスワードをコードに書かないのはなぜですか

こう聞かれます

• 「API キーやパスワードをコードに書かないのはなぜですか」
• 「外部の API のキーは、アプリのどこに置いていますか」
• 「キーを GitHub に上げてしまったら、どうしますか」

面接官が見ている点

• 一度コミットした物は、消しても履歴に残ると分かっているか
• 秘密をコードと分けて置く方法を、自分の作った物で話せるか
• 漏れたときに、まずキーを無効にする順番を言えるか

短い答え

• コードに書いた秘密は、リポジトリを見られる人全員に渡り、あとで消しても Git の履歴に残るからです。
• 秘密は環境変数や、サーバーの秘密を置く仕組みに分けて置き、コードはそこから読むだけにします。
• 漏れたときは、まずそのキーを無効にして新しく作り直し、そのあとで履歴の掃除や影響の確かめをします。

少し詳しい答え

よくある間違い

• 「最新のコードから消したので大丈夫」と言う過去のコミットに残っています。キーを無効にして作り直します
• 「非公開のリポジトリだから書いてよい」と言う見られる人が増えたり、写しが広がったりします。秘密はコードと分けます
• 「環境変数にすればブラウザに入れてもよい」と言う 作るときにブラウザ向けの JavaScript に埋め込まれれば、誰でも読めます

深掘りの問い

• 「コミットする前に秘密に気づくには」コミットの前に秘密らしい文字を調べる道具や、GitHub の秘密を見つける仕組みを使う、と答えます
• 「開発と本番でキーを分けるのはなぜですか」開発のキーが漏れても本番に届かないようにし、それぞれの権限を絞れるから、と答えます
• 「チームで秘密を渡すには」チャットに貼らず、チームで使う秘密の置き場や、権限を分けられる仕組みを使う、と答えます

関連するコースと用語

• Gitの追跡しないファイルを決める（.gitignore）
  コース「Git入門」
• Gitの履歴を読む（git log）
  コース「Git入門」
• APIの認証 トークンとAPIキー
  コース「APIセキュリティ入門」

用語集で確かめる言葉は、環境変数、リポジトリ、GitHub、最小権限です。