एक credential, token या internal URL जिसे कभी आपके codebase से बाहर नहीं जाना था, आपके deploy किए गए bundle तक पहुँच गया। आपको जानना है कि अभी live क्या है, और उसके बारे में क्या करना है।
Ship हुआ credential लोग नहीं, scanners ढूँढते हैं
Leak हुआ credential उसी पल से एक live incident है जब वह serve होता है। उसे ढूँढने का रास्ता automated है: कोई secret scanner, bundle scraper या किसी researcher का script JavaScript फ़ाइल में plaintext key को बहुत पहले ढूँढ लेता है, इससे पहले कि कोई इंसान बैठकर आपका code पढ़े। Exposure की घड़ी deploy के समय से चल रही है, आपके dashboards चाहे जो दिखाएँ।
नुकसान इस पर निर्भर करता है कि credential का scope क्या है। किसी shared account पर व्यापक permissions वाली key, सीमित scope वाली key से बड़ा incident है। दोनों उसी पल से incidents हैं जब उन तक network पर पहुँचा जा सकता है।
पता करें कि आपकी live site क्या expose करती है
कुछ भी बदलने से पहले deploy की गई site पर audit चलाएँ:
$ npx afterpack@latest audit https://yoursite.comयह exposed secrets, पहुँच योग्य source maps और ship किया गया JavaScript कितना protected है, यह उस bundle के लिए बताता है जो visitor के browser को अभी मिलता है। पहले secrets और source maps पढ़ें। बिना findings वाली report का मतलब है कि इस scan को उन URLs पर कुछ नहीं मिला, और यह इस बात का सबूत नहीं है कि कुछ भी leak नहीं हुआ।
अगली build उस value के लिए क्या बदलती है
Default preset build के समय आपके string literals को encode करता है, इसलिए internal endpoint, flag का नाम और credential आपकी serve की गई फ़ाइल में plaintext नहीं रहते। नए artifact में key के लिए, या उसके आसपास के text के लिए, grep करने पर वह नहीं मिलती, और ज़्यादातर leak हुई keys ढूँढने वाले automated scrapers ख़ाली हाथ लौटते हैं। कुछ literals हर preset पर पढ़ने योग्य रहते हैं, और Protection Map बताता है कि कौन-से।
इससे आपको rotation ठीक से पूरा करने का समय मिलता है। यह leak को undo नहीं करता। पुरानी build पहले ही बाहर जा चुकी है, और value नई build में भी मौजूद है। Encoding यह बदलती है कि पढ़ने वाले को फ़ाइल में क्या मिलता है, जबकि code अब भी value रखता है और उसका उपयोग करता है।
Source maps और backups को pipeline से बाहर रखें
जाँचें कि आपकी pipeline में कुछ भी ऐसे outputs चालू नहीं करता जो आपका मूल source वापस सौंप दें:
{
"sourceMap": { "enabled": false, "emitUrl": false, "sourcesContent": false },
"build": { "backup": false },
"protectionMap": { "enabled": true }
}Source map obfuscated फ़ाइल को वापस आपके पढ़ने योग्य source से जोड़ता है, और sourceMap.sourcesContent उस source को map के अंदर embed कर देता है। Production में maps डिफ़ॉल्ट रूप से बंद रहते हैं, और debugging के लिए उन्हें चालू करने वाली pipeline ही आमतौर पर वह रास्ता है जिससे कोई map server तक पहुँचता है; जब आपको production traces चाहिए, तो map के साथ build करें और उसे private रखें।
build.backup copy ज्यों का त्यों आपका source है। CLI इसे project root पर gitignored .afterpack/backups/ में रखता है, जो भी आप deploy करते हैं उससे बाहर। जब कोई framework plugin copy को output के बगल में लिखता है और आपका deploy उस directory को पूरा का पूरा ship करता है, तो इसे false पर सेट करें। protectionMap.enabled Protection Map को build machine पर .afterpack/ में लिखता है, और CLI उसे किसी serve होने वाले path में लिखने से इनकार करता है।
पुष्टि करें कि finding चली गई
Rotate और redeploy करने के बाद audit फिर से चलाएँ, और पुष्टि करें कि पहले वाली finding चली गई है। Result को script में पढ़ने के लिए --diagnostics.format=json जोड़ें। अगर build DIAG_SURVIVING_READABLE_LITERAL report करती है, तो output में अब भी कोई पढ़ने योग्य literal है, और strings.leaks.max आपकी सेट की गई संख्या से अधिक बचे रहने पर build को fail कर देता है। वह diagnostic literals को सामान्य रूप से गिनता है और यह नहीं बताता कि उनमें से कौन-सा credential है।
Obfuscation क्या undo नहीं कर सकता
Encoding यहाँ से आगे हर build पर लागू होती है, इसलिए plaintext value उस artifact से हट जाती है जिसे scanner पढ़ता है, और audit बताता है कि live site आज क्या expose करती है। यह उस build तक नहीं पहुँच सकता जो पहले ही बाहर जा चुकी है: credential को rotate करना वह कदम है जो incident को बंद करता है, और redeploy करना ही पुराने पढ़ने योग्य bundle को serve होने से रोकता है।
आगे
- किसी live site के JavaScript का audit करें: जाँचों की पूरी सूची और report कैसे पढ़ें।
- Best practices: rotation के कदम क्रम से।
- Build & CI: source maps और backups को हर environment से बाहर रखना।