تخزين الأسرار والمفاتيح وتدويرها

١السرّ لا يعيش في الكود

كل ما سبق من تشفير وتوقيع يقوم على أسرار: مفاتيح، وكلمات مرور قواعد البيانات، ورموز واجهات برمجية. إن كشف المهاجم السرّ، سقطت الحماية كلها. وأكثر تسريبات الأسرار سببها بسيط: وضعها في الكود.

٢أين توضع الأسرار؟

// ✗ سرّ في الكودconst SECRET = 'my-real-secret-123'; // ✓ من متغيّر البيئة، يُحقن وقت التشغيلconst SECRET = process.env.JWT_SECRET;if (!SECRET) throw new Error('JWT_SECRET غير مضبوط');

المبدأ: افصل الإعداد (بما فيه الأسرار) عن الكود. الكود يُنشَر علنًا، والأسرار تُحقن في البيئة الآمنة.

٣تدوير المفاتيح وأقل صلاحية

حتى السرّ غير المكشوف يُدوَّر دوريًّا، كي لا يبقى مفتاح واحد صالحًا للأبد، فيقلّ أثر أي تسريب غير مكتشف:

هذه امتدادٌ لمبدأ أقل الصلاحيات (الدرس 6) على المفاتيح نفسها: كل مفتاح يملك أدنى صلاحية ولأقصر مدة.