chore(security): harden public secret scan and document policy

2026-06-21 14:17:05 +03:00
parent 9f3278f0dc
commit 4f90aba2a1
15 changed files with 389 additions and 61 deletions
@@ -0,0 +1,76 @@
+# Политика public secret scanning
+
+Этот документ описывает публичную проверку репозитория на очевидные секреты.
+Проверка нужна для инженерной прозрачности и снижения риска случайной
+публикации токенов, паролей, cookies, private keys и похожих значений.
+
+GitHub Actions используется как public mirror validation only. Основной
+registry release evidence должен формироваться в российском build-контуре, а
+не в GitHub Actions.
+
+## Принцип проверки
+
+- Scanner работает fail-closed: при подозрении на committed secret workflow
+  должен завершаться ошибкой.
+- Scanner выводит только `file:line:rule` и не печатает найденное значение.
+- Реальные секреты, токены, пароли, cookies, API keys и private keys нельзя
+  хранить в репозитории.
+- Runtime-секреты должны передаваться через environment variables, защищенные
+  файлы вне репозитория или внешний secret storage.
+- Документационные примеры должны использовать `<SET_VIA_ENV>`, `<REDACTED>`,
+  `example`, `dummy` или `redacted`.
+
+## Тестовые значения
+
+Для unit tests и fixtures допустимы только короткие безопасные значения:
+
+- `dummy`
+- `test`
+- `example`
+- `redacted`
+- `secret`, если тест проверяет именно parsing поля и значение короткое
+
+Не использовать длинные base64, hex, JWT-like или token-like строки даже в
+тестах. Такие строки выглядят как настоящий secret и должны заменяться на
+короткий dummy.
+
+## Inline allow comments
+
+Если строка безопасна, но scanner не может корректно определить контекст,
+разрешен точечный inline allow comment:
+
+```text
+# public-secret-scan: allow dummy
+```
+
+```text
+// public-secret-scan: allow dummy
+```
+
+Allow comment разрешен только для dummy/test fixtures, безопасных placeholder
+values или runtime-derived значений, где секрет не хранится в репозитории.
+Нельзя использовать allow comment для реального токена, пароля, cookie, private
+key или customer evidence.
+
+## Локальный запуск
+
+```bash
+python3 scripts/public_secret_pattern_check.py
+```
+
+Ожидаемый успешный результат:
+
+```text
+secret_pattern_check=ok
+```
+
+## Что делать при срабатывании
+
+1. Проверить строку вручную.
+2. Если значение настоящее, удалить его из истории рабочего изменения и
+   заменить на env/config reference.
+3. Если значение тестовое, заменить на короткий dummy.
+4. Если это безопасный placeholder или runtime-derived value, переписать строку
+   так, чтобы она не выглядела как секрет, либо добавить точечный inline allow
+   comment.
+5. Повторить локальный запуск scanner и registry readiness check.