डेवलपर के लिए बुनियादी सुरक्षा

कुछ आसान और टिकाऊ आदतों से अपने खाते, अपनी गुप्त कुंजियाँ और अपनी मशीन सुरक्षित रखें।

8 मिनट · 3 प्रश्न

ख़ुद को सुरक्षित रखने के लिए विशेषज्ञ बनने का इंतज़ार नहीं किया जाता। अपने पहले ही हफ़्ते से आप संवेदनशील चीज़ें संभालते हैं: एक ईमेल खाता, किसी कोड प्लेटफ़ॉर्म पर एक खाता, कभी-कभी भुगतान वाली सेवाओं की एक्सेस कुंजियाँ। अभी अपनाई गई कुछ आदतें आपको आगे चलकर बहुत ठोस मुसीबतों से बचा लेंगी, जैसे चोरी हुई कुंजी पर चढ़ा कई सौ यूरो का बिल।

शुरुआत खातों से करें। हर सेवा के लिए एक अलग पासवर्ड, जटिल के बजाय लंबा: चार असामान्य शब्दों से बना एक वाक्यांश आठ अक्षरों वाले उलझे हुए शब्द से बेहतर है। कुछ भी याद न रखना पड़े, इसके लिए पासवर्ड मैनेजर का उपयोग करें। फिर दो-चरणीय प्रमाणीकरण चालू करें, पहले दो खातों पर: अपने ईमेल पर और अपने कोड खाते पर। ये राज्य की चाबियाँ हैं, क्योंकि इनसे बाकी सभी खाते रीसेट किए जा सकते हैं।

इसके बाद आती है कोड में राज़ों की बात। राज़ यानी कोई API कुंजी, किसी डेटाबेस का पासवर्ड या कोई एक्सेस टोकन: अक्षरों की ऐसी शृंखला जो साबित करती है कि आप ही आप हैं। नियम पक्का है: राज़ कभी सीधे किसी कोड फ़ाइल में नहीं लिखा जाता। उसे एक .env फ़ाइल में रखा जाता है जो आपकी मशीन पर ही रहती है, और उस फ़ाइल को .gitignore में जोड़ दिया जाता है ताकि वह कभी ऑनलाइन न जाए।

# .env: आपकी मशीन पर ही रहती है, कभी साझा नहीं होती
API_KEY=secret_key_do_not_publish
DB_PASSWORD=local_password

# .gitignore: Git को बताती है कि इन पथों को अनदेखा करे
.env
node_modules/

आख़िर में, इंटरनेट पर मिली कमांड से सावधान रहें। ऐसी कोई पंक्ति कभी न चलाएँ जिसे आप समझते नहीं, ख़ासकर अगर वह sudo से शुरू होती हो: इस शब्द का मतलब है "प्रशासक अधिकारों के साथ", यानी मशीन पर कुछ भी बदलने या मिटा देने की ताक़त। वही सावधानी उन इंस्टॉल स्क्रिप्ट के साथ भी बरतें जिन्हें एक ही झटके में डाउनलोड करके चला दिया जाता है।

# बचें: यह बिना आपके कुछ पढ़े ही चल जाता है
curl https://example.test/install.sh | bash

# बेहतर: डाउनलोड करें, पढ़ें, फिर तय करें
curl -o install.sh https://example.test/install.sh
less install.sh
bash install.sh

ज्ञान जांच

सुनिश्चित करें कि आपको इस पाठ के मुख्य बिंदु याद हैं।

1. किसी प्रोजेक्ट में API कुंजी कहाँ रखनी चाहिए?
   • सीधे कोड फ़ाइल में, इस तरह ज़्यादा आसान रहता है
   • एक स्थानीय .env फ़ाइल में, जिसे .gitignore रिपॉज़िटरी से बाहर रखती है
   • कमिट संदेश में, ताकि वह दोबारा आसानी से मिल जाए
2. आपने ग़लती से एक गुप्त कुंजी प्रकाशित कर दी, फिर फ़ाइल मिटा दी। अब क्या करें?
   • और कुछ नहीं, फ़ाइल तो जा चुकी है
   • सेवा के पास जाकर कुंजी रद्द करें और एक नई बनाएँ
   • निशान मिटाने के लिए रिपॉज़िटरी का नाम बदल दें
3. इंटरनेट से कॉपी की गई ऐसी कमांड से सावधान क्यों रहना चाहिए जो sudo से शुरू होती है?
   • क्योंकि वह हमेशा ज़्यादा धीरे चलती है
   • क्योंकि वह प्रशासक अधिकारों के साथ चलती है और कुछ भी बदल सकती है
   • क्योंकि वह केवल Windows पर काम करती है