Güvenli Gizli Bilgi Yönetimi
Kimlik bilgilerini sabit kodlamayı bırakın. Ortam yalıtımı ve gizli bilgi yöneticilerini kullanarak API anahtarlarını, veritabanı parolalarını ve sertifikaları saklamayı, uygulamaya aktarmayı ve yenilemeyi öğrenin.
Güvenli Gizli Bilgi Yönetimi, CoddyKit'te ücretsiz bir Secure Coding & OWASP Top 10 for Backend dersidir. Bu, 4 dersinin 4. dersidir. Aşağıdan dersin tamamını ücretsiz okuyabilir, sonra tarayıcıda yerleşik kod editörü ve 7/24 yapay zeka koçu ile uygulamalı olarak pratik yapabilirsin. Bu, Secure Coding & OWASP Top 10 for Backend öğrenme yolunun bir parçasıdır ve ilerlemeniz web ve CoddyKit uygulaması arasında senkronize olur. Secure Coding & OWASP Top 10 for Backend kursu toplamda 4 dersten oluşur.
Bu dersin bazı bölümleri henüz çevrilmemiş olup İngilizce olarak gösterilmektedir.
Secrets Are Sensitive Data Too
You have protected data at rest and in transit and learned key management. But the secrets your app itself uses — DB passwords, API keys, signing keys — are a prime target. Mishandling them undoes everything else.
The Hardcoding Anti-Pattern
Embedding a secret in source code means it lives forever in version history, is visible to everyone with repo access, and ships in every build.
// NEVER do this
const dbPassword = 'P@ssw0rd123';Secrets in Git
Once a secret is committed, deleting it later is not enough — it stays in history. Treat any leaked secret as compromised and rotate it immediately. Use a .gitignore and pre-commit scanning to prevent leaks.
.env
*.pem
secrets/Environment Variables
A first step is injecting secrets via environment variables at runtime, keeping them out of code. Config stays in the environment, not the artifact.
import os
db_password = os.environ['DB_PASSWORD']Limits of Env Vars
Env vars are better than hardcoding but still leak via crash dumps, child processes, and logging. They also lack rotation and audit. For real systems, use a dedicated secret manager.
Secret Managers
Tools like Vault, AWS Secrets Manager, and GCP Secret Manager store secrets encrypted and serve them to authorized services on demand, with access control and an audit log.
secret = client.get_secret('prod/db/password')Least Privilege Access
Each service should read only the secrets it needs. Scope access by identity so a compromised service cannot dump every credential in the vault.
Secret Rotation
Rotate secrets regularly and immediately after any suspected leak. Secret managers can automate rotation, issuing new credentials and revoking old ones without downtime.
Dynamic Short-Lived Secrets
The strongest pattern: generate short-lived credentials on demand that expire in minutes. A leaked secret is useless almost immediately, shrinking the attack window dramatically.
Never Log Secrets
Scrub secrets from logs, error messages, and traces. Redact known secret keys before output, and audit logs periodically to confirm nothing sensitive leaks through.
def redact(d):
return {k: ('***' if 'pass' in k or 'key' in k else v) for k, v in d.items()}Encryption at Rest for Secrets
Secret managers store values encrypted using a master key, often backed by a hardware security module or a cloud KMS. This means a stolen backup or disk image yields only ciphertext, tying secret protection back to solid key management.
Quick Check
Test your secrets handling.
Recap
You learned to manage secrets safely:
- Never hardcode or commit secrets
- Inject via environment, but prefer a secret manager
- Apply least privilege and an audit log
- Rotate regularly; favor short-lived credentials
- Never log secrets
Sıkça Sorulan Sorular
“Güvenli Gizli Bilgi Yönetimi” dersi ücretsiz mi?
Evet — “Güvenli Gizli Bilgi Yönetimi” dersin tüm metni burada web'de ücretsiz olarak okunabilir. Etkileşimli olarak pratik yapmak (yerleşik kod editörü ve 7/24 yapay zeka koçu) ve Secure Coding & OWASP Top 10 for Backend kursunun geri kalanını açmak için CoddyKit PRO'ya yükselt. Secure Coding & OWASP Top 10 for Backend kursu toplamda 4 dersten oluşur.
“Güvenli Gizli Bilgi Yönetimi” dersinde ne öğreneceğim?
Kimlik bilgilerini sabit kodlamayı bırakın. Ortam yalıtımı ve gizli bilgi yöneticilerini kullanarak API anahtarlarını, veritabanı parolalarını ve sertifikaları saklamayı, uygulamaya aktarmayı ve yeni… Secure Coding & OWASP Top 10 for Backend ile uygulamalı kodu tarayıcıda doğrudan çalıştırarak pratik yaparsın ve 7/24 yapay zeka koçu dersi çalışırken sorularını yanıtlar.
Secure Coding & OWASP Top 10 for Backend öğrenmeye başlamak için deneyim gerekli mi?
Önceden deneyim gerekmez. CoddyKit'te Secure Coding & OWASP Top 10 for Backend, başlangıçtan ileri seviyeye kadar yapılandırıldığı için buradan başlayabilir veya başından başlayıp kendi hızında ilerleme yapabilirsin. Bu, 4 dersinin 4. dersidir.
“Güvenli Gizli Bilgi Yönetimi” dersi ne kadar sürer?
Çoğu CoddyKit dersi yaklaşık 5–10 dakika sürer. Her biri kısa ve etkileşimli olduğu için sabit ilerleme yaparsın ve web ile uygulama arasında tam olarak bıraktığın yerden devam edebilirsin.
Bu Secure Coding & OWASP Top 10 for Backend dersinde kod yazıp çalıştırabilir miyim?
Evet. Her Secure Coding & OWASP Top 10 for Backend dersi yerleşik bir kod editörü içerir, bu sayede tarayıcıda gerçek kod yazıp çalıştırabilir ve anlık yapay zeka geri bildirimi alırsın — yerel kurulum gerekli değildir.
Bu kursun tüm dersleri
- Bekleyen Hassas Verileri Koruma
- Aktarım Halindeki Verileri Güvenceye Alma (TLS/SSL)
- Anahtar Yönetimi ve Özetleme
- Güvenli Gizli Bilgi Yönetimi