{"meta":{"title":"Armazenando seus segredos com segurança","intro":"Saiba mais sobre segredos no desenvolvimento de software e sobre como gerenciá-los com segurança.","product":"Introdução","breadcrumbs":[{"href":"/pt/get-started","title":"Introdução"},{"href":"/pt/get-started/learning-to-code","title":"Aprenda a codificar"},{"href":"/pt/get-started/learning-to-code/storing-your-secrets-safely","title":"Armazenando segredos com segurança"}],"documentType":"article"},"body":"# Armazenando seus segredos com segurança\n\nSaiba mais sobre segredos no desenvolvimento de software e sobre como gerenciá-los com segurança.\n\n## O que é um segredo?\n\nNo desenvolvimento de software, um segredo são as informações confidenciais usadas para autenticar ou autorizar o acesso a sistemas, serviços, dados e APIs. Os exemplos incluem:\n\n* **Chaves de API** e **tokens de acesso** que permitem interagir com serviços externos, como a API REST do GitHub. Os tokens de acesso também permitem que serviços, como o GitHub Actions, executem tarefas que precisam de autenticação, como testaremos posteriormente.\n* **Credenciais de banco de dados** que concedem acesso a armazenamento e bancos de dados locais e externos.\n* **Chaves privadas**, como chaves SSH e PGP privadas, que podem ser usadas para acessar outros servidores e criptografar dados.\n\nComo os segredos fornecem tanto acesso, inclusive a sistemas críticos, podemos entender por que é tão importante mantê-los **em segurança**.\n\n### O que pode acontecer quando um segredo é exposto?\n\n* Invasores podem obter **acesso não autorizado** a tudo a que o segredo permite acesso.\n* Hackers podem **roubar dados**, incluindo dados confidenciais do usuário. Isso pode ter ramificações legais e de privacidade, além de reduzir a confiança em você e em seu aplicativo.\n* A exposição de segredos pode **custar dinheiro** quando hackers executam cargas de trabalho não autorizadas nas contas de um provedor de nuvem.\n* Hackers podem usar um segredo exposto para excluir, modificar e encerrar servidores, o que pode causar **tempo de inatividade e perda de dados**.\n\nConsidere todo o acesso e as funcionalidades que um segredo concede a você e o que um hacker poderia fazer com isso. Por exemplo, se um personal access token de sua conta do GitHub fosse exposto, um hacker poderia postar e fazer alterações no GitHub como se fosse você.\n\n## Práticas recomendadas para gerenciar segredos\n\nPara evitar esses tipos de problemas, siga as práticas recomendadas para impedir vazamentos e limitar danos se um segredo for exposto.\n\n### Siga o **Princípio do menor privilégio (PoLP)**.\n\nSempre que possível, restrinja as ações e o acesso de um segredo apenas ao que é necessário. Por exemplo:\n\n* Se um segredo for usado apenas para ler dados, e não fazer alterações neles, opte por torná-lo **somente leitura**.\n* Se a API que você está usando permitir que um segredo seja limitado apenas a escopos ou permissões específicos, selecione apenas **aqueles de que você precisa**. Por exemplo, se você precisa apenas criar problemas com um segredo do GitHub, não há motivos para o segredo ter acesso ao conteúdo do repositório nem a qualquer outra coisa.\n* Se um segredo conceder a um invasor acesso total à conta de usuário que o possui, **considere criar contas de serviço** que possam assumir a propriedade do segredo.\n\n### Proteger segredos em seu aplicativo\n\n* **Nunca embuta um secreto no código**. Sempre use **variáveis de ambiente** ou as ferramentas de gerenciamento de segredos da plataforma (como os segredos do repositório do GitHub).\n* Se precisar compartilhar um segredo com alguém, use uma ferramenta dedicada, como um **gerenciador de senhas**. Nunca envie segredos por email ou mensagem instantânea.\n* Se possível, defina **datas de validade** e **gire os segredos** regularmente; isso reduz o risco de segredos antigos serem explorados.\n* Se seu aplicativo produzir um log, assegure que os **segredos serão ocultados antes de serem registrados nele**. Caso contrário, segredos ativos poderão ser salvos em arquivos de texto sem formatação.\n\n### Limitar o impacto caso um segredo seja exposto\n\n* Considere que o segredo foi comprometido, mesmo que tenha sido exposto por apenas um segundo, e **revogue-o imediatamente**. Em seguida, gere um novo segredo e armazene-o com segurança.\n* Verifique os **logs de atividades** que possam mostrar atividades suspeitas executadas com o segredo comprometido.\n* Considere como o segredo foi exposto e faça alterações em seus processos para que isso não volte a acontecer.\n\n## Como o GitHub ajuda a manter segredos em segurança\n\nVocê pode fazer muitas coisas para manter seus segredos em segurança, mas o GitHub também faz muito para ajudar com isso. Todos cometem erros, e estamos aqui para ajudar com recursos que capturam os segredos que você expõe acidentalmente:\n\n* A **proteção de push**, que testaremos posteriormente, impede o envio de segredos por push para seus repositórios no GitHub.\n* A **verificação de segredos** verifica os repositórios e cria alertas quando descobre um segredo. No caso de alguns segredos, também notificamos o provedor para que ele possa tomar medidas como revogar o segredo automaticamente.\n\n## Praticando o armazenamento seguro de segredos\n\nNeste exercício, criaremos um personal access token e o armazenaremos com segurança para que possamos usá-lo com o GitHub Actions. A ação que criaremos é um fluxo de trabalho simples que responde a uma questão.\n\n### 1. Criar um repositório para praticar\n\nVamos começar criando um repositório no qual trabalhar. A conta `new2code` tem um modelo de repositório que podemos usar para começar rapidamente.\n\n1. Navegue até a [página de novo repositório](https://github.com/new?template_owner=new2code\\&template_name=secret-action). Ao seguir este link, o modelo será pré-selecionado na conta `new2code`.\n2. Em \"Owner\", verifique se sua conta de usuário está selecionada.\n3. No campo \"Repository name\", digite `secret-action`.\n4. Abaixo do campo de descrição, selecione **Public** para definir a visibilidade do repositório.\n5. Clique em **Criar repositório**.\n\n### 2. Fazer commit de um token fictício\n\nTodos cometem erros, e é possível que você efetue commit de um segredo acidentalmente em algum momento de sua jornada de codificação. Neste exercício, faremos commit de um **token falso** intencionalmente para que possamos nos familiarizar e com o alerta que é disparado.\n\n1. Navegue até o repositório recém-criado.\n\n2. Navegue até o arquivo de fluxo de trabalho YAML clicando em `.github/workflows` na lista de arquivos.\n\n3. Abra o arquivo de fluxo de trabalho clicando em `comment.yml` na lista de arquivos.\n\n4. Para editar o arquivo de fluxo de trabalho, na parte superior direita, clique em .\n\n5. Na linha 13, `GH_TOKEN: \"\"`, insira este token fictício entre as aspas:\n\n ```text\n secret_scanning_ab85fc6f8d7638cf1c11da812da308d43_abcde\n ```\n\n O resultado final deve ter essa aparência:\n\n ```yaml\n GH_TOKEN: \"secret_scanning_ab85fc6f8d7638cf1c11da812da308d43_abcde\"\n ```\n\n6. Para tentar fazer commit da alteração, na parte superior direita, clique em **Commit changes...** e em **Commit changes** novamente na caixa de diálogo.\n\n7. Agora, você deve ver o alerta de proteção de push com a mensagem \"Secret scanning found a GitHub Secret Scanning secret on line 13\".\n\n \n\n Se não estivéssemos testando um token fictício, isso nos alertaria de estarmos a um passo de expor um token. Examine as opções que você pode selecionar no alerta.\n\n8. Para interromper o commit e evitar expor o segredo, clique em **Cancel**. No canto superior direito, clique em **Cancel changes** e descarte as alterações não salvas, se solicitado.\n\n### 3. Criando um token real\n\nAgora, vamos tentar seguir nossas práticas recomendadas. Primeiro, criaremos um personal access token que permitirá que a ação ocorra em seu nome (o comentário criado parecerá vir da sua conta de usuário).\n\n> \\[!NOTE] Observe como seguimos o Princípio de privilégios mínimos em cada etapa de configuração. Seu token terá a validade mais curta necessária, só terá acesso ao repositório de que precisa e terá as permissões mínimas necessárias para funcionar.\n\n1. Navegue até a [nova página do personal access token](https://github.com/settings/personal-access-tokens/new).\n2. Em \"Token name\", dê um nome ao novo token. Você pode usar algo como \"Token de ação\".\n3. Em \"Expiration\", selecione \"7 days\".\n4. Em \"Repository access\", selecione **Apenas selecionar repositórios**.\n5. Na lista suspensa \"Select repositories\", selecione **apenas** o repositório de prática criado anteriormente.\n6. À direita de \"Repository permissions\" na seção \"Permissions\", clique em para exibir todas as permissões possíveis.\n7. Role para baixo até \"Issues\" e, na lista suspensa à direita, selecione \"Ler e escrever\".\n8. Na parte inferior da página, clique em **Gerar token**. Se solicitado, confirme clicando em **Generate token** novamente.\n\nÉ crucial lidar com o token resultante de maneira segura deste momento em diante. Como usaremos o token em breve, você pode copiá-lo para sua área de transferência.\n\n### 4. Armazenando o token com segurança\n\nAgora, podemos armazenar o novo token com segurança em nosso repositório.\n\n1. Navegue até o repositório criado no início do exercício.\n2. No nome do repositório, clique em ** Settings**. Caso não consiga ver a guia \"Configurações\", selecione o menu suspenso **** , clique em **Configurações**.\n\n \n3. Na seção \"Security\" da barra lateral, selecione ** Secrets and variables** e clique em **Actions**.\n4. Em \"Repository secrets\", clique em **New repository secret**.\n5. No campo **Name**, digite um nome para o segredo. Para este exercício, usaremos `MY_TOKEN`.\n6. No campo **Secret**, cole o personal access token gerado anteriormente.\n7. Clique em **Adicionar segredo**.\n\nSeu segredo está criptografado com segurança e pronto para uso!\n\n### 5. Referenciando o token na ação\n\nAgora, podemos atualizar o arquivo de fluxo de trabalho YAML para usar o token e testar se ele funciona.\n\n1. Navegue de volta para seu repositório. Se estiver nas configurações de seu repositório, clique em ** Code** abaixo do nome do repositório.\n\n2. Navegue até o arquivo de fluxo de trabalho YAML clicando em `.github/workflows` na lista de arquivos.\n\n3. Abra o arquivo de fluxo de trabalho clicando em `comment.yml` na lista de arquivos.\n\n4. Para começar a editar o arquivo de fluxo de trabalho, na parte superior direita, clique em .\n\n5. Na linha 13, `GH_TOKEN: \"\"`, substitua as aspas vazias por `${{ secrets.MY_TOKEN }}`. Isso fará referência ao segredo do repositório que adicionamos anteriormente.\n\n ```yaml\n GH_TOKEN: ${{ secrets.MY_TOKEN }}\n ```\n\n6. Para confirmar a alteração, na parte superior direita, clique em **Commit changes...**\n\n7. Na caixa de diálogo \"Commit changes\", edite \"Commit message\" para refletir a alteração que estamos fazendo. Por exemplo, você pode inserir \"Atualizando o fluxo de trabalho para usar o segredo do repositório\".\n\n8. Assegure que \"Commit directly to the `main` branch\" esteja selecionado.\n\n9. Clique em **Confirmar alterações**.\n\n### 6. Testando o token e o fluxo de trabalho\n\nDevemos estar prontos agora! Agora, vamos testar o fluxo de trabalho.\n\n1. No nome do seu repositório, clique em ** Issues**.\n\n \n2. Clique em **Novo problema**.\n3. Em \"Add a title\", você pode digitar qualquer título desejado.\n4. Em \"Add a description\", na área de texto, digite `Hello`.\n5. Abaixo da área de texto, clique em **Create**.\n\nDepois que o fluxo de trabalho for concluído, você deverá ver um novo comentário aparecer. O comentário será criado por você mesmo, pois estamos usando seu token, e conterá uma saudação.\n\n## Próximas etapas\n\nPara se aprofundar mais na verificação de segredos e na proteção de push, conclua o curso [Introdução à verificação de segredos](https://github.com/skills/introduction-to-secret-scanning/tree/main) no GitHub Skills.\n\nOutra parte importante da segurança de código é aprender a identificar e corrigir vulnerabilidades de código nos projetos. Confira [Como localizar e corrigir sua primeira vulnerabilidade de código](/pt/get-started/learning-to-code/finding-and-fixing-your-first-code-vulnerability)."}