นักพัฒนาใส่ API key จริงไว้ใน Git repository แล้วลบไฟล์ใน commit ล่าสุด สิ่งใดยังต้องทำ
กเพิกถอน/หมุน key ตรวจประวัติการใช้ ล้างออกจาก history ตามความจำเป็น และย้ายไป secret manager
ขทำ commit ลบไฟล์และเพิ่มชื่อไฟล์ใน ignore จากนั้นเฝ้าระวัง key เดิมต่อโดยยังไม่เพิกถอน
คเปลี่ยนชื่อ repository และจำกัดสิทธิ์ผู้ใช้ใหม่ แต่ปล่อย key เดิมซึ่งอาจอยู่ในประวัติ commit ใช้งานต่อ
งปิดช่องทางรายงานปัญหาและสร้าง key สำรองเพิ่ม โดยยังไม่ตรวจการเรียกใช้ key ที่รั่วไหล
เฉลยอธิบาย
secret อาจยังอยู่ในประวัติและสำเนา repository การลบไฟล์ไม่ทำให้ credential ปลอดภัย จึงต้อง rotate และตรวจการใช้