Voordat u een proxy-instelling in een openbare repository zet

Een proxy-hostnaam in een configuratiebestand is niet hetzelfde als een proxy-wachtwoord. Het publiceren van een van beide verdient een weloverwogen beslissing, maar de gevolgen verschillen.

Een eindpunt vertelt lezers waar een dienst bereikbaar kan zijn. Een URL zoals http://name:[email protected]:8080 geeft hun ook bruikbare inloggegevens. Het mag nooit als onschadelijk worden beschouwd alleen omdat het op een adres lijkt.

Een verborgen adres is geen toegangsbeleid

Een privéproxy heeft controles nodig die bij zijn gebruikers passen: authenticatie, toegestane clientnetwerken en bestemmingsbeperkingen. Het adres buiten een repository houden vervangt ze niet. Een openbaar bereikbare dienst kan vindbaar zijn zonder dat iemand uw configuratie leest.

Omgekeerd bewijst het publiceren van een dienstadres niet dat deze open is. Een eindpunt kan nog steeds inloggegevens vereisen of alleen bereikbaar zijn vanuit een bedoeld netwerk. Beoordeel de werkelijke toegangsgrens in plaats van aan te nemen dat geheimhouding en authenticatie hetzelfde betekenen.

Gebruik voor deelbare voorbeelden documentatiehostnamen en laat geheimen weg. Bewaar privé-instellingen in het gevestigde geheim- of lokale configuratiemechanisme van het project. Let op gegenereerde bestanden en gekopieerde diagnostische logboeken, die een volledige URL met inloggegevens kunnen bevatten.

Als inloggegevens zijn blootgesteld, verwijder dan eerst hun bruikbaarheid door ze in te trekken of te roteren. Het bewerken van het nieuwste bestand verwijdert geen kopieën, eerdere commits of gecachte inhoud. De richtlijnen van GitHub over gevoelige gegevens leggen uit waarom het opschonen van de geschiedenis een aparte taak is.

Een nuttige beoordeling controleert beide kanten: welke toegang de gepubliceerde informatie verleent, en of de proxy beperkt blijft zelfs wanneer het adres bekend is.