API-Schlüssel gehören nicht in öffentliche Website Dateien

Viele Websites verbinden Dienste für Versand, Zahlungen oder Automatisierung. Dafür verwendete geheime Schlüssel dürfen nicht unbemerkt in öffentlich abrufbaren Dateien landen. OWASP beschreibt Geheimnisverwaltung als eigenständige Aufgabe mit Speicherung, Zugriff, Rotation und nachvollziehbarer Nutzung.

Auch ein zunächst privates Repository kann später sichtbar werden oder sensible Daten in Protokolle und Builds übernehmen. Entscheidend ist deshalb der gesamte Weg eines Schlüssels. Eine Bezeichnung wie Umgebungsvariable macht einen Wert nicht automatisch geheim, wenn das Buildsystem ihn in den Browsercode einfügt.

Empfehlung für Unternehmen

Ordnen Sie vorhandene Schlüssel einem Dienst und Verantwortlichen zu. Trennen Sie öffentliche Kennungen von echten Geheimnissen. Prüfen Sie veröffentlichte Builds und Protokolle auf versehentliche Offenlegung. Bereits veröffentlichte Geheimnisse müssen ersetzt werden; ein späteres Entfernen aus der aktuellen Datei allein reicht nicht.

Quelle: OWASP Secrets Management