Cum gestionezi variabilele de mediu și secretele

Parolele, cheile API și alte secrete nu trebuie niciodată scrise în cod sau urcate în Git. Locul lor este în variabile de mediu.

Fișierul .env

Majoritatea framework-urilor citesc configurația dintr-un fișier .env:

DB_PASSWORD=parola_secreta
API_KEY=cheia_ta

Nu urca .env în Git

Adaugă-l în .gitignore și pune în repo doar un .env.example fără valori reale.

echo ".env" >> .gitignore

Permisiuni stricte

chmod 600 .env

Doar proprietarul poate citi fișierul, vezi permisiunile fișierelor.

Variabile la nivel de sistem

Pentru servicii systemd, poți pune variabilele în unitatea de serviciu:

Environment="API_KEY=cheia_ta"

În CI/CD

Secretele se pun în interfața de secrete a sistemului CI/CD, nu în fișierele de workflow, vezi pipeline CI/CD. Dacă un secret a ajuns din greșeală în Git, schimbă-l imediat, istoricul Git îl păstrează.