secret-management-checklist

汇总「密钥管理」中最常见的陷阱与关键必做项，提供一份可勾选清单，助你一次性做对、避免返工： 【必做项】 ☐ 为不同环境（开发、测试、生产）使用独立的密钥 ☐ 禁止将密钥硬编码在代码、配置文件或版本控制系统中 ☐ 使用安全的密钥存储服务（如 AWS KMS、Hashicorp Vault、Azure Key Vault 等） ☐ 实施最小权限原则，严格控制密钥访问权限 ☐ 定期轮换密钥（建议每 90 天或更短周期） ☐ 启用密钥使用审计日志，并定期审查 ☐ 对密钥进行加密存储，确保静态数据安全 ☐ 在传输过程中使用 TLS 等安全协议保护密钥 ☐ 为服务账户和应用程序分配专用身份凭证，避免共享密钥 ☐ 制定密钥泄露应急响应流程，包括撤销与替换机制 【易踩坑项】 ⚠️ 将密钥提交至 Git 仓库（即使后续删除，历史记录仍存在） ⚠️ 使用弱随机数生成密钥或密码 ⚠️ 长期不轮换密钥，增加泄露风险 ⚠️ 多人共享同一密钥，难以追踪责任与权限控制 ⚠️ 忽略密钥生命周期管理（创建、使用、轮换、销毁） ⚠️ 在生产环境中使用开发或测试密钥 ⚠️ 未限制密钥的访问范围（如 IP、时间、操作类型） ⚠️ 依赖本地文件存储密钥，缺乏集中管理与备份机制 ⚠️ 未对密钥管理系统本身进行安全加固与监控 ✅ 完成以上清单后，标记已执行项，形成团队标准操作流程。

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本