プロキシ設定を公開リポジトリに置く前に

設定ファイル内のプロキシのホスト名は、プロキシのパスワードと同じものではありません。どちらを公開するにしても意図的な判断が必要ですが、その結果は異なります。

エンドポイントは、サービスがどこで到達可能かを読者に伝えます。http://name:[email protected]:8080 のような URL は、使える認証情報も与えてしまいます。単にアドレスのように見えるというだけで、無害だと見なしてはなりません。

隠されたアドレスはアクセス方針ではない

プライベートなプロキシには、利用者に適した制御が必要です。認証、許可するクライアントネットワーク、宛先の制限です。アドレスをリポジトリの外に保つことは、それらの代わりにはなりません。公開されて到達可能なサービスは、誰も設定を読まなくても発見され得ます。

逆に、サービスのアドレスを公開しても、それが開いていることの証明にはなりません。エンドポイントは依然として認証情報を要求したり、想定されたネットワークからしか到達できなかったりします。秘密と認証が同じ意味だと決めつけず、実際のアクセス境界を確認してください。

共有できる例には、ドキュメント用のホスト名を使い、秘密は省きます。非公開の設定は、プロジェクトで定められたシークレットまたはローカル設定の仕組みに置いてください。生成されたファイルやコピーされた診断ログにも注意してください。完全な認証情報付き URL が含まれていることがあります。

認証情報が露出した場合は、まず失効またはローテーションして有用性をなくします。最新のファイルを編集しても、コピー、以前のコミット、キャッシュされた内容は消えません。GitHub の機密データに関する指針は、履歴のクリーンアップが別作業である理由を説明しています。

有用なレビューは両面を確認します。公開した情報がどのアクセスを与えるか、そしてアドレスが知られていてもプロキシが制限されたままかどうかです。