API密钥轮换策略

长期API密钥是安全负担。

轮换原因

• 笔记本被盗
• 日志意外捕获密钥
• 承包商离职
• 库被入侵

双密钥模式

每个凭证始终保留两个有效密钥。

1. 生成新密钥

2. 设为SECONDARY

3. 推送消费者配置

4. 宽限期后停用旧密钥

5. 提升新密钥为PRIMARY

用Vault自动化

Hashicorp Vault、AWS Secrets Manager。

早期泄漏检测

• GitHub Secret Scanning
• TruffleHog/gitleaks

轮换时间目标

成熟团队15分钟内。

日志卫生

不要记录完整密钥，只记录最后4个字符。