ℹ️ Передача секретов в CI/CD – боль. dotenv-файлы часто попадают в логи, secrets manager не всегда доступен, а base64 – ненадёжен. Но есть способ!
1. Шифруем .env с OpenSSL
Можно зашифровать .env перед коммитом, а в CI/CD расшифровывать на лету:
openssl enc -aes-256-cbc -salt -pbkdf2 -in .env -out .env.enc -pass pass:"$(cat secret.key)"• secret.key – файл с паролем (его НЕ коммитим).
• -pbkdf2 – делает шифрование устойчивым к брутфорсу.
2. Расшифровка в CI/CD перед запуском
В GitHub Actions или GitLab CI/CD:
openssl enc -aes-256-cbc -d -pbkdf2 -in .env.enc -out .env -pass pass:"$SECRET_KEY"Где $SECRET_KEY – секретное переменное окружение.
Плюсы:
- •
.env.encможно безопасно хранить в репозитории. - • Избегаем утечек при
cat.envв логах CI/CD. - • Работает даже без внешнего secret manager.
✳️ Больше не надо бояться утечек в логах или случайных коммитов с секретами!
tags: #полезно #cicd #безопасность
🧭 @recura_tech
