Ключ в Git — он не исчезает, даже если вы его удалили
Обсуждали с коллегами статью про то, как ключи в Git не исчезают, даже если удалены. И в этом — не просто технический нюанс, а реальная угроза для любого сайта, где код хранится в публичном репозитории. Я считаю, что это не про «проблему разработчика», а про систему, которую должен контролировать владелец сайта.
О чём речь и почему я считаю это важным для сайта
Речь о том, что даже если ключ доступа к сервису, базе или API удалили из кода — он всё ещё жив в истории Git. И это не теория. Это значит, что утечка уже произошла, даже если вы не заметили. И это не «может быть», а «уже есть» — потому что боты сканируют репозитории за минуты.
Как это устроено — что тут вообще происходит
Git не удаляет файлы — он заменяет состояние дерева. Удалённый файл остаётся в объектах истории. И если кто-то уже склонировал репозиторий — у него этот ключ уже есть. Даже если вы переписали историю, он останется у тех, кто склонировал до этого. И на хостинге он может быть доступен по прямому адресу, пока не уберёт сборщик мусора.
Как понять, что это касается вашего сайта («как я это проверяю»)
Проверяю первым делом: если сайт использует внешние сервисы, а код хранится в Git — есть риск. Даже если вы не разработчик, вы — владелец. Проверяю через git grep по всем коммитам, если есть доступ к репозиторию. Если у вас есть публичный репозиторий — это уже повод. И да, даже если вы не делали коммиты, у вас может быть доступ к коду, который кто-то выложил.
Что с этим делать («что я делаю в таких случаях»)
Сначала отзываю ключ — это первое. Потом проверяю, где он использовался: логи, счета, активность. Только потом — чищу историю. Но не просто так. Уведомляю всех, кто работал с репозиторием, чтобы переклонировали. И проверяю, не было ли утечки данных. Главное — не думать, что «удалил — значит, всё». Делать это нужно системно, а не в панике.
Что здесь даёт поддержка
На нашей поддержке это закрывается не разово, а в рамках постоянной практики. Мы не ждём, пока что-то сломается. Мы проверяем, где могут быть утечки, и предотвращаем их. Работаем с 2002 года, более 100 клиентов по всему миру. Главный итог — не «мы починим», а «вы перестанете думать о сайте». Сайт работает, а вы — не в аварийном режиме. Бесплатный аудит сайта — это шаг к уверенности.