EXERCICE · EXEMPLE FICTIF
Repérer un secret dans un message d'erreur
Exemple fictif. Un message d'erreur de votre outil de code affiche : « Impossible de charger le plugin depuis https://github-token:ghp_9f8ds7f9s8df7g9s8dfg@github.com/votre-org/plugin-prive.git ». Vous vous apprêtiez à coller ce message dans un canal d'équipe accessible à toute l'entreprise pour demander de l'aide.
- Source
- Information à confirmer
- Preuve
- État actuel de la preuve non renseigné · date de preuve non enregistrée
- Revue
- Contre-revue à compléter
Contre-vérification à compléter : La contre-vérification de cette version n’est pas établie. Lire la méthode
À vous de jouer
- Identifiez précisément quelle partie de ce message est un secret et laquelle ne l'est pas.
- Expliquez ce qui pourrait arriver si ce message est collé tel quel dans ce canal.
- Décrivez les deux actions à effectuer, l'une avant et l'autre après avoir demandé de l'aide sur ce problème.
Voir une correction expliquée
Le secret est le jeton « ghp_9f8ds7f9s8df7g9s8dfg » inséré dans l'URL Git ; le reste de l'URL (nom d'hôte, organisation, dépôt) ne l'est pas. Collé tel quel, ce jeton donnerait à quiconque lit le canal un accès au moins en lecture au dépôt privé concerné, potentiellement plus large selon les droits associés. Avant de demander de l'aide : retirer ou masquer le jeton dans le message partagé. Après : révoquer ce jeton précis et en générer un nouveau, plutôt que de supposer qu'une simple mise à jour de l'outil suffit.