Chave de banco no repositório, token de API no chat e senha de produção no arquivo .env que alguém commitou. Em startup de dez pessoas isso acontece na primeira semana, e corrigir depois do vazamento custa muito mais que prevenir.
O que entra na lista de secret
Categoria: credencial de banco, chave de API, certificado TLS, token de serviço, senha de admin e chave secreta de webhook. O OWASP Secrets Management Cheat Sheet (OWASP, 2024) define secret como valor que concede acesso e não pode passar por controle de versão.
Barreira no git: rode gitleaks no pre-commit de todo repositório. Você encontra a chave no primeiro commit, antes de alguém fora do time.
Onde guardar
Time pequeno: comece pelo cofre do provedor cloud, como AWS Secrets Manager ou Google Secret Manager. Você paga por operação, ganha rotação e trilha de auditoria pronta.
Próximo nível: HashiCorp Vault (HashiCorp, 2025) entrega lease, rotação automática e controle por pessoa, e pede operação própria. O NIST SP 800-57 Part 1 (NIST, 2020) recomenda rotação periódica junto com registro de uso.
Rotina de 30 dias
Vasculhe o histórico do git e troque cada credencial achada. Ative alerta quando secret aparecer em log ou em mensagem. Defina dono e data de rotação por secret. Simule um vazamento com cronômetro e conte o tempo até revogar.
