إدارة الأسرار

📚 محتوى دفاعي للمطوّرين.

ما هي الأسرار؟

مفاتيح API، كلمات مرور قواعد البيانات، رموز التوقيع، شهادات — أي شيء يكشفه يضرّ نظامك.

القاعدة الأولى

⚠️ لا تضع الأسرار في الكود ولا ترفعها إلى Git أبدًا.

الحلّ: متغيّرات البيئة

const apiKey = process.env.API_KEY;        // Node

import os
api_key = os.environ["API_KEY"]            # Python

ضعها في ملف .env (محلّيًّا) واستبعده في .gitignore:

# .gitignore
.env

في الإنتاج

استخدم نظام إدارة الأسرار في منصّتك:

• متغيّرات البيئة في Vercel/Netlify.
• خدمات مثل AWS Secrets Manager، HashiCorp Vault.

إذا تسرّب سرّ

1. ألغِه/غيّره فورًا (إزالته من تاريخ Git لا تكفي — قد يكون نُسخ).
2. راجع السجلّات للاستخدام المشبوه.
3. أضِف فحصًا يمنع رفع الأسرار (git hooks، أدوات scan).

أدوات الكشف

• git-secrets، truffleHog لفحص المستودعات.

💡 افترض أن أي سرّ يُرفع لـ Git عامّ = مكشوف للأبد. غيّره.

🎯 التالي: التحكّم بالوصول.