example-petstore.com

Voorbeelddomein · Geen echte dienst · Bezoekers met een browser zien deze pagina · API-verzoeken krijgen 410 Gone

Gids · Beveiliging

Gelekte sleutels: wat je nu doet

Heeft je code een sleutel, token, wachtwoord of sessiecookie naar example-petstore.com of example-commerce-host.com gestuurd, dan is dat op een server beland waar je geen controle over hebt. Beschouw het als uitgelekt en vervang het. Alleen de dienst die het heeft uitgegeven, kan het intrekken.

Doe dit nu

  1. Trek de sleutel, het token of het wachtwoord in bij de dienst die het heeft uitgegeven. Het uit je code verwijderen is niet genoeg.
  2. Vraag een nieuwe aan en bewaar die in de configuratie of een secrets manager, niet in de code of in versiebeheer.
  3. Corrigeer eerst het adres in je code, zodat de nieuwe sleutel alleen naar de echte dienst gaat.
  4. Controleer de toegangs- of auditlogboeken van de dienst op activiteit die je niet herkent, vanaf het eerste verzoek naar het voorbeelddomein.
  5. Zijn er echte kaartgegevens verstuurd, neem dan contact op met de uitgever van de kaart.

Intrekken per aanbieder

AanbiederWat je intrektWaar
GitHubPersonal access tokensManaging your personal access tokens
Google CloudAPI-sleutels, sleutels van serviceaccountsManage API keys · Respond to compromised credentials
AWSIAM-toegangssleutelsManage access keys for IAM users
StripeGeheime en beperkte sleutelsAPI keys
SlackBot- en gebruikerstokensauth.revoke
AnthropicAPI-sleutelsAPI key best practices
OpenAIAPI-sleutelsBest practices for API key safety
Andere dienstenElke sleutel, elk token of wachtwoordDe beveiligings- of API-instellingen van die dienst; zoek in de documentatie naar “revoke” of “rotate”.

Daarna

  • Verwijder de oude sleutel uit repository’s, logbestanden en de geschiedenis van je configuratie. De geschiedenis herschrijven maakt hem niet opnieuw veilig; intrekken wel.
  • Zet secret scanning aan in je repository’s, bijvoorbeeld GitHub secret scanning, zodat gelekte sleutels vroeg worden gemeld.
  • Voeg een controle toe die voorkomt dat voorbeeldadressen in productie belanden. Zie API-clients en SDK’s configureren.

Bronnen