Question 1

Verwijdert git rm --cached het secret uit de geschiedenis van mijn repository?

Accepted Answer

Nee. Het stopt alleen het tracken van het bestand vanaf de volgende commit. De .env en het secret bestaan nog in de eerdere commit. Stoppen met tracken is stap één; het echt wissen vereist het herschrijven van de geschiedenis.

Question 2

Wat doet git rm --cached dan eigenlijk?

Accepted Answer

Het verwijdert het bestand uit Gits index (tracking) maar laat het op schijf staan. Gecombineerd met een .gitignore-entry stopt Git met het registreren van het bestand vanaf nu, wat dit scenario oefent.

Question 3

Als het secret in de geschiedenis blijft, wat moet je dan echt doen?

Accepted Answer

Behandel het secret als gelekt en rouleer het: verander direct het wachtwoord, de API-sleutel of het token. Verwijder het daarna uit eerdere commits met een gereedschap dat geschiedenis herschrijft zoals git filter-repo of BFG, en doe force-push als het al gedeeld is.

Question 4

Waarom .env aan .gitignore toevoegen?

Accepted Answer

Zodat het bestand nooit per ongeluk opnieuw gestaged wordt. Stoppen met tracken zonder .gitignore zou de volgende git add hetzelfde secret opnieuw laten toevoegen.

Question 5

Hoe verwijder ik een .env-bestand dat al gecommit is?

Accepted Answer

Voer git rm --cached .env uit om te stoppen met tracken, voeg .env toe aan .gitignore en commit. Dat stopt toekomstige lekken, maar het secret leeft nog in eerdere commits, dus je moet ook de geschiedenis herschrijven en het secret rouleren.

Question 6

Hoe verwijder ik een secret uit de volledige Git-geschiedenis?

Accepted Answer

Herschrijf elke commit die het bevat met git filter-repo (aanbevolen) of de BFG Repo-Cleaner en doe daarna force-push. Omdat de geschiedenis verandert, stem het af met iedereen die de repository heeft gekloond.

Question 7

Is het genoeg om het secret gewoon in een nieuwe commit te verwijderen?

Accepted Answer

Nee. De oude commit bevat het secret nog, dus iedereen met toegang tot de geschiedenis kan het lezen. Je moet de geschiedenis herschrijven om het te wissen en, het allerbelangrijkst, de gelekte credential rouleren.

Question 8

Moet ik een secret rouleren nadat het is gecommit?

Accepted Answer

Ja, altijd. Zodra een secret is gecommit en gepusht, behandel het dan als gecompromitteerd en geef een nieuwe sleutel of token uit. Het uit de geschiedenis verwijderen vermindert de blootstelling maar maakt het lek niet ongedaan.

Secrets uit Git-repository verwijderen | WebTerm