מפתחות וסודות: איך מרחיקים סיסמאות מהקבצים
מי שמחבר בוט וואטסאפ או מערכת תשלום מקבל מפתח גישה, מחרוזת ארוכה של תווים. כל מי שמחזיק בה יכול לפעול בשם העסק. אחד המקומות שבהם היא נחשפת הוא לא פריצה מתוחכמת אלא הדבקה נוחה במקום הלא נכון.
מה נחשב סוד?
סוד הוא כל מפתח API, סיסמה או טוקן שמעניק גישה למערכת. כדי לעבוד איתם בבטחה בקלוד קוד: לא מדביקים אותם בשיחה או בתוך הקוד, שומרים אותם בקובץ הגדרות נפרד שאינו נכנס ל־Git, נותנים לכל מפתח את ההרשאה המינימלית, ואם סוד נחשף, מחליפים אותו מיד. מחיקה של השורה מהקובץ אינה מבטלת חשיפה.
רשימת הסודות הטיפוסית של עסק קטן ארוכה ממה שחושבים: מפתח של שירות שליחת מיילים, טוקן של בוט טלגרם, סיסמת מסד נתונים, מפתח של מערכת תשלומים, גישה לחשבון הפרסום. כל אחד מהם הוא דלת. בשיעורי הבנייה בקורס בונים בוט וואטסאפ, בוט טלגרם ו־SaaS עם Supabase, וכל אחד מהם מגיע עם מפתחות משלו. לכן יש גם שיעור נפרד על אבטחה של מפתחות וסודות.
איפה סוד יושב ואיפה הוא לא יושב
הכלל הבסיסי: הקוד מכיל את השם של הסוד, ולא את הערך שלו. הערך נשמר במקום נפרד שהקוד קורא ממנו בזמן ריצה. בפועל זה נראה כך:
| המקום | מתאים לסוד? | למה |
|---|---|---|
| בתוך קובץ הקוד | לא | כל מי שרואה את הקוד רואה את המפתח, והוא נכנס להיסטוריה של Git |
| בהודעה לקלוד קוד | לא | הוא הופך לחלק מהשיחה |
| קובץ הגדרות נפרד, מוחרג מ־Git | כן | הקוד קורא ממנו, והוא לא עולה עם הפרויקט |
| הגדרות הסביבה של שירות האירוח | כן | הסוד נשמר בשרת ולא בקבצים. בדקו בשירות שלכם איפה מגדירים אותו |
להתחיל עם רשת ביטחון
50 שיעורי וידאו, 199 דקות, ושלושה שיעורים ראשונים בחינם. בין השיעורים: מצבי הרשאות, גיבוי ו־Git, rewind ואבטחה של מפתחות וסודות.
שלוש טעויות שחוזרות
- הדבקה לשיחה: "הנה המפתח, תחבר את זה". במקום זה, מבקשים מקלוד קוד להכין קובץ הגדרות ריק עם שם המשתנה, ומילאים את הערך בעצמכם.
- קובץ הגדרות שעלה ל־Git: אם קובץ הסודות לא מוחרג, הוא נשמר בהיסטוריה, ואם הפרויקט עולה ל־GitHub הוא עלול להיחשף. מוודאים ש־Git מתעלם ממנו לפני נקודת השמירה הראשונה.
- מפתח אחד לכל דבר: אם יש מפתח עם הרשאה מלאה, וחושפים אותו, הנזק מלא. מפתחות נפרדים לכל שימוש, עם הרשאה מינימלית, מקטינים את הנזק.
ועוד פרט קטן שנוטים לשכוח: קוד שקורא סוד צריך להתנהג יפה גם כשהערך חסר או שגוי, ולא להדפיס אותו ליומן ההודעות בכישלון. אפשר לבקש מקלוד קוד במפורש לא להדפיס ערכי סודות.
מה עושים כשסוד נחשף?
ההנחה הנכונה: סוד שנחשף נחשב שנגנב, גם אם אף אחד לא ניצל אותו. לכן:
ובמילים פשוטות: מחיקה אינה ביטול. מי שהעתיק את המפתח כבר יש לו אותו.
איך לומדים לעבוד כך בלי לפחד?
החשש מסודות הוא סיבה לעשות את זה נכון, לא סיבה להימנע מבניית דברים. השיעור על אבטחת מפתחות וסודות הוא חלק מקורס קלוד קוד בווידאו של יעקב צדק, ומופיע בין שיעורי הבנייה, ליד העלאה לאוויר עם Vercel ודומיין. מי שמעדיף להתחיל קטן יכול לעבור קודם על הקורס האינטראקטיבי. ואת שאלת התיקייה שמחזיקה את הקבצים מכסה המדריך על מה להשאיר מחוץ לתיקייה.
שאלות נפוצות
האם אפשר להדביק מפתח לקלוד קוד כדי שיחבר שירות?
עדיף שלא. מבקשים ממנו להכין קובץ הגדרות עם שם המשתנה, ומכניסים את הערך בעצמכם. כך הסוד לא הופך לחלק מהשיחה.
מה זה קובץ env?
קובץ הגדרות פשוט שבו כל שורה היא שם וערך, למשל שם של מפתח והערך שלו. הוא שומר את הסודות מחוץ לקוד, ומוחרג מ־Git כדי שלא יעלה עם הפרויקט.
מחקתי את המפתח מהקובץ, זה מספיק?
לא. אם הוא כבר נשמר ב־Git, בשיחה או באתר מארח, הוא נשאר בהיסטוריה. מחליפים אותו אצל הספק ומבטלים את הישן.
האם הקורס מלמד אבטחת סודות לפרויקטים כמו בוט וואטסאפ?
יש בקורס שיעור על אבטחה של מפתחות וסודות, ושיעורי בנייה על בוט וואטסאפ לעסק, בוט טלגרם ו־SaaS עם Supabase. פרטי השיעורים בעמוד הקורס.
רוצים לראות את ההגנות על מסך אמיתי?
50 שיעורי וידאו, 199 דקות, ושלושה שיעורים ראשונים בחינם. בין השיעורים: מצבי הרשאות, גיבוי ו־Git, rewind ואבטחה של מפתחות וסודות.