Security14 April 20265 min readاردو

.env فائلز email کرنا بند کریں: encrypted vaults کا عملی گائیڈ

ہر چھوٹی ٹیم کے پاس اپنے secrets کے ان جگہوں پر پہنچنے کی کہانی ہے جہاں انہیں نہیں ہونا چاہیے تھا۔ یہ تقریباً کبھی بدنیتی سے نہیں ہوتا — یہ ایک senior engineer ہوتا ہے جو جمعہ کو 5 بجے کسی junior کو onboard کر رہا ہوتا ہے، production DATABASE_URL کو 'صرف ابھی کے لیے' DM میں paste کر دیتا ہے۔ 'صرف ابھی کے لیے' 'ہمیشہ کے لیے Slack سے index شدہ' بن جاتا ہے۔

SecurityUptime MonitoringWebsite MonitoringApi MonitoringCron Job Monitoring
Security

آپ کی ٹیم کا DATABASE_URL کسی کے Slack DMs میں ہے۔ آپ کی STRIPE_SECRET_KEY Notion page پر رہتی ہے۔ اسی طرح secrets leak ہوتے ہیں۔ یہاں وہ hygiene ہے جو آپ کو پہلے دن سے ہونی چاہیے تھی — اور encrypted vaults اسے بے تکلیف بنا دیتے ہیں۔

چھوٹی ٹیموں میں secrets کیسے leak ہوتے ہیں

چار سب سے عام leak paths:

Slack DMs — onboarding، تیز handoffs۔ Search index انہیں ہمیشہ کے لیے رکھتا ہے۔ • Notion/Confluence pages — کسی نے 2022 میں production values کے ساتھ 'dev setup' page بنایا۔ • Plaintext Postman collections — workspace کے ذریعے شیئر کیے گئے، live tokens سمیت۔ • Committed .env files — `git rm` انہیں HEAD سے ہٹاتا ہے لیکن یہ history میں رہتے ہیں۔

ان میں سے کوئی بھی بدنیت insider کو شامل نہیں کرتا۔ سب workflow shortcuts ہیں جو مستقل artifacts بن جاتے ہیں۔

Threat model: کون اصل میں access حاصل کر رہا ہے

Tool چننے سے پہلے، خطرات کو نام دیں:

• ایک junior جو کمپنی چھوڑتا ہے اور اس کے laptop پر ابھی بھی Slack export ہے۔ • ایک contractor جس کو آپ کے Notion workspace تک ایک دن رسائی تھی اور اس نے Markdown backup رکھا۔ • ایک compromised developer laptop جہاں infostealer نے disk پر ہر plaintext secret جذب کر لیا۔

Encrypted vaults ان سب کو ایک ہی طرح سنبھالتے ہیں: secret کبھی rest پر plaintext میں نہیں ہوتا، لہٰذا exfiltrated ciphertext vault key کے بغیر بیکار ہے۔

Rest پر encryption: کیوں Fernet کے ذریعے AES-128-CBC

EnvVault secret encryption کے لیے Fernet (AES-128-CBC اور HMAC-SHA256) استعمال کرتا ہے۔ یہ دستیاب سب سے نادر cipher suite نہیں ہے، اور یہی point ہے۔ Fernet standardized ہے، وسیع پیمانے پر audit کیا گیا ہے، اور ان طریقوں سے misuse کرنا ناممکن ہے جو غیر محفوظ output پیدا کریں۔

اہم: vault ایک مخصوص `ENVVAULT_ENCRYPTION_KEY` استعمال کرتا ہے، نہ کہ application کا JWT signing secret۔ انہیں share کرنا عام غلطی ہے: اگر حملہ آور JWT forge کرے تو وہ ہر secret بھی decrypt کرتا ہے۔

Per-environment vaults اور structural separation

'سب کچھ' کے لیے ایک vault غلط شکل ہے۔ Production secret کی access ضروریات development secret سے بنیادی طور پر مختلف ہیں۔

اپنے vaults کو اس طرح structure کریں:

Production — صرف senior on-call پڑھتا ہے، ہر access پر audit log۔ • Staging — کوئی بھی engineer پڑھتا ہے، صرف lead لکھتا ہے۔ • Development — ہر کوئی پڑھ اور لکھ سکتا ہے۔

Separation صرف permissions کے بارے میں نہیں — یہ blast radius کے بارے میں ہے۔

صارفین کو lock کیے بغیر rotation workflow

سب سے اہم operational صلاحیت جو vault کو چاہیے وہ key rotation ہے جو چلتی application کو نہ توڑے۔ طریقہ کار:

1. نیا encryption key generate کریں۔ اسے vault میں `current` key کے طور پر شامل کریں۔ 2. پرانے key کو `legacy` کے طور پر رکھیں۔ 3. Re-encryption pass چلائیں: ہر secret کے لیے، `legacy` سے decrypt کریں، `current` سے encrypt کریں۔ 4. Re-encryption مکمل ہونے پر، `legacy` کو ہٹا دیں۔

Dual-key window کے ساتھ، کوئی بھی درخواست rotation کی وجہ سے کبھی ناکام نہیں ہوتی۔

هذه المقالة متاحة عبر مسارات اللغات المدعومة — استخدم محدد اللغة في الأعلى للتبديل.

فیچر گائیڈ

Uptime Monitoring

AlertsDock gives teams uptime monitoring for websites, APIs, TCP checks, DNS checks, SSL expiry, and fast alert routing without enterprise overhead.

گائیڈ پڑھیں

متبادل صفحہ

Better Stack Alternative

Compare AlertsDock with Better Stack for teams that want a more focused monitoring product covering uptime, cron jobs, status pages, and webhooks.

موازنہ دیکھیں
AD
AlertsDock Team
14 April 2026
Try AlertsDock free