Question 1

git rm --cached apaga o segredo da história do meu repositório?

Accepted Answer

Não. Ele apenas para de rastrear o arquivo a partir do próximo commit. O .env e o segredo dele continuam existindo no commit anterior. Parar o rastreamento é o passo um; apagá-lo de verdade exige reescrever a história.

Question 2

Então, o que git rm --cached faz de fato?

Accepted Answer

Remove o arquivo do índice do Git (rastreamento), mantendo-o em disco. Combinado com uma entrada em .gitignore, o Git para de registrar o arquivo daqui em diante, que é o que este cenário pratica.

Question 3

Se o segredo continua na história, o que se deve fazer de verdade?

Accepted Answer

Trate o segredo como comprometido e rotacione-o: troque imediatamente a senha, a chave de API ou o token. Depois remova-o dos commits passados com uma ferramenta de reescrita de história como git filter-repo ou BFG, e faça force-push se já tiver sido compartilhado.

Question 4

Por que adicionar .env ao .gitignore?

Accepted Answer

Para o arquivo nunca mais ser preparado por engano. Parar o rastreamento sem .gitignore permitiria que o próximo git add adicionasse o mesmo segredo de novo.

Question 5

Como removo um arquivo .env que já foi commitado?

Accepted Answer

Execute git rm --cached .env para parar de rastreá-lo, adicione .env ao .gitignore e commite. Isso impede vazamentos futuros, mas o segredo ainda vive nos commits passados, então você também precisa reescrever a história e rotacionar o segredo.

Question 6

Como removo um segredo de toda a história do Git?

Accepted Answer

Reescreva cada commit que o contém com git filter-repo (recomendado) ou o BFG Repo-Cleaner, depois faça force-push. Como a história muda, coordene com qualquer pessoa que tenha clonado o repositório.

Question 7

Basta apenas apagar o segredo em um novo commit?

Accepted Answer

Não. O commit antigo ainda contém o segredo, então qualquer um com acesso à história pode lê-lo. Você precisa reescrever a história para purgá-lo e, mais importante, rotacionar a credencial vazada.

Question 8

Devo rotacionar um segredo depois que ele foi commitado?

Accepted Answer

Sim, sempre. Uma vez que um segredo foi commitado e enviado, trate-o como comprometido e emita uma nova chave ou token. Removê-lo da história reduz a exposição, mas não desfaz o vazamento.

Remover Segredos de um Repositório Git | WebTerm