Skip to content

SECURITY_CHECKLIST.md

Latest commit

 

History

History
176 lines (126 loc) · 4.85 KB

SECURITY_CHECKLIST.md

File metadata and controls

176 lines (126 loc) · 4.85 KB
Raw

✅ БЕЗОПАСНОСТЬ ПОДТВЕРЖДЕНА

Дата: 22 марта 2026 г.
Статус: ✅ ГОТОВО К ОТПРАВКЕ

🔐 Критические файлы защищены

В .gitignore (никогда не будут в git)

  • ✅ .env.local — все секреты локально
  • ✅ passwords.txt — удалён, в .gitignore
  • ✅ password-replacements.txt — удалён, в .gitignore
  • ✅ *.jks, *.keystore — файлы подписи
  • ✅ android/key.properties — пароли keystore

Удалены из репозитория

  • ✅ Временные файлы с паролями
  • ✅ Пароли в истории git (git-filter-repo)
  • ✅ Хардкод в .dart файлах

📊 Текущий статус

✅ Файлы с паролями: УДАЛЕНЫ
✅ .gitignore: ОБНОВЛЁН
✅ .env.local: СОЗДАН (gitignored)
✅ История git: ОЧИЩЕНА
✅ Код: БЕЗ ХАРДКОДА
✅ GitHub Actions: ОБНОВЛЕНЫ

🚀 Что можно делать безопасно

✅ Локальная разработка

# Секреты в .env.local (не попадёт в git)
nano .env.local

# Сборка с ключом
export ADMIN_MASTER_KEY='YourSecretKey'
./build_apk.sh

✅ GitHub CI/CD

# Секреты в GitHub Secrets (зашифровано)
--dart-define=ADMIN_MASTER_KEY=${{ secrets.MASTER_KEY }}

✅ Коммиты

# .gitignore защитит от случайной утечки
git add .
git commit -m "Feature: ..."
# .env.local автоматически пропущен

⚠️ Что НЕЛЬЗЯ делать

❌ НИКОГДА не коммитьте

  • .env.local
  • passwords.txt
  • *.jks
  • android/key.properties

❌ НИКОГДА не пишите в коде

// ПЛОХО:
const password = 'MySecretKey123';

// ХОРОШО:
String get password => String.fromEnvironment('ADMIN_MASTER_KEY');

❌ НИКОГДА не логируйте

// ПЛОХО:
print('Password: $password');

// ХОРОШО:
debugPrint('Auth attempt...'); // без деталей

🧪 Автоматическая проверка

Перед коммитом

# Проверка на утечки
git grep -E "password|secret|key" -- "*.dart" "*.yml" "*.md"

# Проверка staged файлов
git diff --cached --name-only

# Убедитесь что .env.local не в индексе
git check-ignore -v .env.local

📚 Документация

Файл Описание
SECURITY_MASTER_GUIDE.md Полное руководство по безопасности
GITHUB_SECRETS_SETUP.md Настройка секретов GitHub
FINAL_SECURITY_REPORT.md Отчёт об очистке истории
PUSH_INSTRUCTIONS.md Инструкция по force push

🎯 Следующие шаги

  1. Проверьте .env.local

    cat .env.local | grep ADMIN_MASTER_KEY
# Убедитесь что ключ установлен

  2. Отправьте на GitHub

    git push --force --all origin

  3. Настройте GitHub Secrets

    • MASTER_KEY
    • KEYSTORE_BASE64
    • KEYSTORE_PASSWORD
    • KEY_ALIAS
    • KEY_PASSWORD

  4. Проверьте сборку

    • Запустите workflow
    • Убедитесь что APK собран
    • Проверьте что админка работает

🛡️ Защита активирована

┌─────────────────────────────────────────────────────────┐
│  ЗАЩИТА ОТ УТЕЧЕК                                       │
│                                                         │
│  ✅ .gitignore блокирует секреты                        │
│  ✅ Пароли удалены из истории                           │
│  ✅ Код использует String.fromEnvironment               │
│  ✅ Проверка NOT_SET блокирует без ключа                │
│  ✅ PANIC WIPE защищает от подбора                      │
│                                                         │
│  СТАТУС: ✅ ГОТОВО К PRODUCTION                         │
└─────────────────────────────────────────────────────────┘

«Больше никаких утечек!» 🔐

Liberty Reach Security Team