На уровнях 11 и 14 ты уже встречал ключи и переменные окружения — те самые секретные значения, которые проект прячет от чужих глаз. Теперь поговорим о них всерьёз. Пароли, ключи и токены — это ключи от твоего цифрового дома. И обращаться с ними нужно так же бережно, как с настоящими ключами от квартиры.
Ключи, пароли, токены — кто есть кто
Эти слова часто стоят рядом, давай разложим их:
- Пароль — то, что ты вводишь, чтобы войти куда-то: в почту, в банк, в сервис.
- Ключ (API-ключ) — секретное значение, которое позволяет твоему проекту обращаться к чужому сервису. Например, чтобы отправлять письма или брать данные.
- Токен — цифровой пропуск. Сервис выдаёт его и по нему узнаёт, что запрос пришёл именно от тебя, не спрашивая пароль каждый раз.
У всех троих общее одно: это секреты. Тот, у кого они есть, может действовать от твоего имени.
Чего нельзя делать никогда
Раз это ключи от дома, есть вещи, которые делать просто нельзя:
- Не показывай их. Никому — ни в видео, ни на скриншоте, ни «по-быстрому коллеге».
- Не выкладывай в код. Код часто попадает на GitHub, где его видят другие. Ключ внутри кода — это ключ от дома под ковриком на виду у всех.
- Не пересылай в чате. Сообщения остаются в истории, их могут переслать дальше или прочитать чужие глаза.
Если ключ или токен где-то засветился — считай, что он скомпрометирован. Не надейся, что «никто не заметит»: ботам хватает секунд, чтобы найти ключ в открытом коде. Такой ключ нужно сразу отозвать и выпустить новый.
Вот почему секреты держат в переменных окружения, а не прямо в коде — мы об этом говорили на уровне 14. Так ключ остаётся снаружи проекта и не уезжает на GitHub вместе с кодом.
Надёжные пароли и менеджер
С паролями есть два простых правила: они должны быть надёжными и разными для разных сервисов. Если использовать один пароль везде, то стоит ему утечь с одного сайта — и под угрозой сразу все.
Но как запомнить десятки длинных разных паролей? Никак — и не надо. Для этого есть менеджер паролей.
Менеджер паролей сам придумывает сложные пароли, хранит их в зашифрованном виде и подставляет, когда нужно. Тебе достаточно помнить один мастер-пароль — от самого менеджера. Удобно и куда безопаснее, чем держать всё в голове или в заметках.
Относись к паролям, ключам и токенам как к ключам от собственного дома — и твой цифровой дом будет в безопасности.