ルール24：ハードコードされた資格情報 & シークレットの管理
​ハッカーが企業のサーバーを侵害する最も一般的な方法の1つは、ソースコードの中に直接残されたAPIキー、パスワード、データベーストークンを見つけることです！
​スクリプトにシークレットをハードコードすると、GitHubやリポジトリにアクセスできる誰でも、インフラを完全に制御できてしまいます。ルール24を徹底するには、次のセキュアな実践を導入してください：
​1️⃣ 環境変数（.env）：メインのコードファイルにパスワードを書き込まないでください。すべての機密キーを、.gitignoreを使ってソース管理から除外した外部の設定ファイルまたは環境変数に移動します。
2️⃣ 専用のシークレットマネージャー：本番環境では、HashiCorp Vault、AWS Secrets Manager、Google Secret Managerのようなエンタープライズ向けソリューションに依存してください。これらのツールはキーを自動的に暗号化し、ローテーションします。
3️⃣ 自動シークレットスキャン：GitGuardianやTruffleHogのような自動スキャナーを開発ワークフローに組み込み、コードを本番にプッシュする前に、誤って漏えいしたトークンを検知します。
​ソースコードはロジックのためのものです。シークレットのためではありません！キーは厳重にロックして保管してください。#BTC #solana