Compose dosyasına yazılmış gizli bilgi (ARCH10014)

Anahtar config.compose.plaintext-secret · Önem warning · Kategori security · CWE CWE-798

Compose dosyasına yazılan parola ya da token depoda ve geçmişinde durur: depoyu okuyabilen herkes ona sahiptir. environment’ın map ve liste biçimleri birlikte okunur; adın gizli bir kelimeyle bitmesi ve değerin yazılmış olması gerekir.

Hatalı

services:
  db:
    image: postgres:16.4
    environment:
      POSTGRES_PASSWORD: change-me-123

Doğru

services:
  db:
    image: postgres:16.4
    environment:
      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}

Düzeltme

Değeri depo dışında tutulan bir .env dosyasından (${POSTGRES_PASSWORD}) ya da bir compose secret’ından (/run/secrets/...) okuyun.

İşaretlenmeyenler

• ${VAR} başvuruları, env_file, /run/secrets/ yolları ve boş değerler.
• Gizli bilgiyi yalnızca anan adlar: POSTGRES_PASSWORD_FILE, TOKEN_URL.