Gestion des secrets
secrets management · coffre-fort de secrets · vault · clés d’API · secrets dans le code · détection de secrets · rotation des clés
Manière de stocker, distribuer et renouveler les mots de passe techniques, clés d’API, jetons et certificats utilisés par les applications, sans jamais les écrire en clair dans le code.
En pratique
Un secret copié dans un fichier de configuration finit tôt ou tard dans un dépôt Git, une image de conteneur ou une capture d’écran, et il reste dans l’historique même après suppression. La bonne pratique est un coffre de secrets (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault…) qui les délivre à l’exécution, avec des droits minimaux et une trace de chaque accès. Les secrets doivent avoir une durée de vie courte et être renouvelés automatiquement. Un outil de détection, branché sur les commits et la CI, arrête les fuites avant qu’elles ne soient publiées.
Cas réel : en 2016, des intrus ont utilisé une clé d’accès au stockage cloud qu’un ingénieur d’Uber avait déposée sur un site de partage de code. Ils ont téléchargé des fichiers non chiffrés contenant notamment plus de 25 millions de noms et adresses électroniques (source : FTC, 12 avril 2018).
Comment s’en protéger
- Ne jamais écrire un secret dans le code ni dans un fichier versionné.
- Centraliser les secrets dans un coffre, avec accès nominatifs et journalisés.
- Scanner les commits et tout l’historique des dépôts.
- En cas de fuite, révoquer et remplacer le secret immédiatement, puis nettoyer l’historique.
