Devios CMS

Ετικέτα: Κωδικοί

  • Μυστικά σε GitHub repos: πώς τα βρίσκεις πριν τα βρει κάποιος άλλος

    Μυστικά σε GitHub repos: πώς τα βρίσκεις πριν τα βρει κάποιος άλλος

    Κάποια στιγμή, κάποιος στην ομάδα έκανε commit ένα .env. Ίσως το κατάλαβε και το έσβησε στο επόμενο commit. Το κλειδί όμως είναι ακόμα εκεί, στο ιστορικό του git, για όποιον έχει πρόσβαση στο repo, και για πάντα αν το repo γίνει ποτέ δημόσιο.

    Πού κρύβονται συνήθως

    • Αρχεία .env που ξέφυγαν από το .gitignore, ή .env.production που κανείς δεν σκέφτηκε να εξαιρέσει.
    • Αρχεία ρυθμίσεων: wp-config.php, config.json, settings.py με κωδικούς βάσεων.
    • Ιδιωτικά κλειδιά: id_rsa, *.pem, πιστοποιητικά με το κλειδί τους.
    • Κλειδιά στον κώδικα: ένα sk_live_ του Stripe ή ένα sk-ant- της Anthropic «προσωρινά» μέσα σε ένα αρχείο.
    • Σενάρια deploy και αρχεία CI με κωδικούς αντί για secrets.
    • Dumps βάσεων για «δοκιμές», με πραγματικά δεδομένα πελατών.

    Γιατί το «το έσβησα» δεν αρκεί

    Το git κρατά κάθε έκδοση κάθε αρχείου. Ένα αρχείο που σβήστηκε στο επόμενο commit υπάρχει ακόμα στο προηγούμενο. Ακόμα κι αν ξαναγράψεις το ιστορικό, τα αντίγραφα σε laptops, forks και CI caches μένουν. Ένα κλειδί που μπήκε σε repo θεωρείται διαρρεύσαν.

    Πώς τα βρίσκεις

    Η σάρωση ψάχνει μοτίβα που έχουν γνωστή μορφή:

    Τι Πώς μοιάζει
    Stripe live key Ξεκινά με sk_live_ ή rk_live_
    AWS access key Ξεκινά με AKIA και 16 χαρακτήρες
    GitHub token Ξεκινά με ghp_, gho_ ή github_pat_
    Anthropic / OpenAI Ξεκινά με sk-ant- ή sk-
    Ιδιωτικό κλειδί -----BEGIN ... PRIVATE KEY-----
    Αρχείο .env Οποιοδήποτε .env εκτός από .env.example

    Το Devios σαρώνει τα repositories που φέρνει η σύνδεση με το GitHub και, για κάθε εύρημα, κρατά μόνο το hash και μια κομμένη προεπισκόπηση. Η ίδια η τιμή δεν αποθηκεύεται ποτέ. Κάθε νέο εύρημα στέλνει ειδοποίηση ασφαλείας.

    Και το GitHub βοηθάΤο GitHub έχει δικό του secret scanning και push protection, που μπλοκάρει γνωστά κλειδιά πριν φτάσουν στο repo. Άνοιξέ τα σε κάθε οργανισμό· είναι το πρώτο δίχτυ.

    Βρήκες ένα κλειδί. Τι κάνεις

    1. Ανακάλεσέ το στον πάροχο. Φτιάξε νέο κλειδί, βάλ’ το στην εφαρμογή, και μετά σβήσε το παλιό. Αυτό είναι το μόνο βήμα που πραγματικά σε προστατεύει.
    2. Έλεγξε αν χρησιμοποιήθηκε. Στα logs του παρόχου: χρεώσεις, κλήσεις API, συνδέσεις από άγνωστες IP.
    3. Μετέφερε την τιμή εκεί που πρέπει. Στο θησαυροφυλάκιο και στα secrets του CI ή του hosting.
    4. Διόρθωσε το .gitignore ώστε να μην ξανασυμβεί.
    5. Καθάρισε το ιστορικό μόνο αν το repo θα γίνει δημόσιο ή θα δοθεί σε τρίτους. Δεν αντικαθιστά το βήμα 1.

    Πώς δεν ξανασυμβαίνει

    • Ένα .env.example με τα ονόματα των μεταβλητών, χωρίς τιμές, είναι το μόνο .env στο repo.
    • Οι πραγματικές τιμές ζουν στο θησαυροφυλάκιο, ανά περιβάλλον.
    • Σύγκριση των ονομάτων του .env με τα GitHub Actions secrets, για να φαίνεται τι λείπει, χωρίς να φύγει καμία τιμή από τον browser.
    • Push protection ενεργό σε όλο τον οργανισμό.

    Συχνές ερωτήσεις

    Το repo είναι ιδιωτικό. Χρειάζεται να ανησυχώ;

    Ναι. Ιδιωτικό σημαίνει ότι το βλέπουν όλοι όσοι έχουν ή είχαν πρόσβαση, κάθε fork, κάθε CI και κάθε laptop που το έκανε clone. Και τα ιδιωτικά repos γίνονται κάποτε δημόσια κατά λάθος.

    Αρκεί να ξαναγράψω το ιστορικό του git;

    Όχι. Βοηθά για το μέλλον, αλλά τα παλιά αντίγραφα μένουν. Το κλειδί πρέπει να αλλάξει στον πάροχο.

    Πόσο συχνά πρέπει να γίνεται η σάρωση;

    Συνεχώς, με κάθε συγχρονισμό. Ένα κλειδί που μπαίνει σήμερα πρέπει να το μάθεις σήμερα, όχι στον ετήσιο έλεγχο.

  • Όταν φεύγει ένας developer: λίστα offboarding για κωδικούς και πρόσβαση

    Όταν φεύγει ένας developer: λίστα offboarding για κωδικούς και πρόσβαση

    Οι περισσότερες αποχωρήσεις είναι φιλικές. Αυτό δεν αλλάζει τίποτα στο τι πρέπει να γίνει: κάθε πρόσβαση που μένει ανοιχτή είναι ένας λογαριασμός που κανείς δεν προσέχει. Και ένας λογαριασμός που κανείς δεν προσέχει είναι ο πιο εύκολος στόχος αν κλαπεί το laptop του πρώην συνεργάτη ή διαρρεύσει ο προσωπικός του κωδικός.

    Η αρχή: ό,τι είδε, το ξέρει

    Η αφαίρεση πρόσβασης από το εργαλείο σταματά τον άνθρωπο από το να δει κάτι καινούργιο. Δεν σβήνει ό,τι ήδη είδε. Αν άνοιξε τον κωδικό του hPanel ενός πελάτη πριν έναν μήνα, μπορεί να τον έχει ακόμα. Ο μόνος ασφαλής δρόμος είναι να αλλάξει ο κωδικός στον πάροχο.

    Αυτό κάνει το ιστορικό προβολών απαραίτητο: χωρίς αυτό, είτε αλλάζεις όλους τους κωδικούς της εταιρείας, είτε μαντεύεις.

    Την ίδια μέρα

    1. Λογαριασμός στο κέντρο ελέγχου: αφαίρεση από την ομάδα. Τα κλειδιά των συλλογών του σβήνονται και οι κωδικοί που είδε σημειώνονται «Θέλει αλλαγή».
    2. Εταιρικό email: αναστολή, με προώθηση σε κάποιον άλλον για λίγους μήνες.
    3. GitHub / GitLab: αφαίρεση από τον οργανισμό. Έλεγξε και για προσωπικά forks ιδιωτικών repos.
    4. Κλειδιά SSH: αφαίρεση του δημόσιου κλειδιού του από κάθε server (~/.ssh/authorized_keys) και από τα deploy keys.
    5. Πίνακες παρόχων: Hostinger, Cloudflare, Supabase, Vercel και όπου αλλού είχε δικό του χρήστη.
    6. Εργαλεία ομάδας: Slack, Viber group, Figma, Google Drive, λογιστικό.

    Μέσα στην εβδομάδα

    1. Αλλαγή κωδικών της λίστας «Θέλει αλλαγή», ξεκινώντας από τα πιο κρίσιμα: hosting, domains, πληρωμές, βάσεις.
    2. Αλλαγή API keys που είχε δημιουργήσει ή δει: Stripe, Resend, Anthropic, Twilio. Φτιάξε νέο κλειδί, άλλαξέ το στην εφαρμογή, μετά σβήσε το παλιό.
    3. Λογαριασμοί στο όνομά του: ό,τι είχε ανοιχτεί με το προσωπικό του email (ένα Cloudflare, ένα Apple Developer) μεταφέρεται σε εταιρικό.
    4. 2FA: αν κάποιος λογαριασμός είχε 2FA μόνο στο κινητό του, βάλε νέο, με το κλειδί αποθηκευμένο στο θησαυροφυλάκιο.
    Σειρά για τα API keysΠρώτα φτιάχνεις το νέο κλειδί και το βάζεις στην εφαρμογή, μετά σβήνεις το παλιό. Ανάποδα, η εφαρμογή πέφτει.

    Πώς βεβαιώνεσαι ότι δεν ξέχασες τίποτα

    • Η λίστα «Θέλει αλλαγή» πρέπει να αδειάσει. Μέχρι τότε φαίνεται στην αρχική.
    • Ο βαθμός ασφάλειας της εταιρείας πέφτει όσο υπάρχουν κωδικοί για αλλαγή, και ανεβαίνει όταν κλείσουν.

    Πώς το κάνεις ευκολότερο την επόμενη φορά

    • Πρόσβαση ανά project, όχι σε όλα. Λιγότερα projects σημαίνει λιγότεροι κωδικοί για αλλαγή.
    • Προσωρινή πρόσβαση για βοήθεια σε άλλο project, με ημερομηνία λήξης.
    • Εταιρικοί λογαριασμοί παντού, ποτέ προσωπικά emails.
    • Κλειδιά ανά άνθρωπο, όχι ένας κοινός χρήστης «dev» στους servers.

    Συχνές ερωτήσεις

    Πρέπει να αλλάξω όλους τους κωδικούς της εταιρείας;

    Όχι, μόνο αυτούς που είδε ή άλλαξε. Γι’ αυτό χρειάζεσαι ιστορικό προβολών. Χωρίς αυτό, η ασφαλής απάντηση είναι δυστυχώς «ναι, όλους».

    Και αν η αποχώρηση είναι φιλική;

    Η διαδικασία είναι ίδια. Δεν αφορά την εμπιστοσύνη στον άνθρωπο, αλλά την ασφάλεια των λογαριασμών του, που δεν θα τους προσέχει πια κανείς.

    Τι γίνεται με έναν freelancer που δουλεύει περιστασιακά;

    Δώσε του προσωρινή πρόσβαση μόνο στο project που χρειάζεται, με ημερομηνία λήξης. Όταν λήξει, οι κωδικοί που είδε σημειώνονται για αλλαγή όπως σε κάθε αποχώρηση.

  • Zero-knowledge κρυπτογράφηση: τι σημαίνει και γιατί έχει σημασία για τους κωδικούς των πελατών σου

    Zero-knowledge κρυπτογράφηση: τι σημαίνει και γιατί έχει σημασία για τους κωδικούς των πελατών σου

    Το «zero-knowledge» γράφεται σε κάθε σελίδα password manager, συνήθως χωρίς εξήγηση. Εδώ είναι τι σημαίνει στην πράξη, χωρίς μαθηματικά, και γιατί είναι η μόνη λογική επιλογή όταν κρατάς κωδικούς για λογαριασμό άλλων.

    Η μία πρόταση

    Zero-knowledge σημαίνει ότι ο server αποθηκεύει τους κωδικούς σου χωρίς να μπορεί να τους διαβάσει. Η κρυπτογράφηση και η αποκρυπτογράφηση γίνονται μόνο στη συσκευή σου, με κλειδί που ο server δεν έχει δει ποτέ.

    Η διαφορά από την «κανονική» κρυπτογράφηση

    Κρυπτογράφηση στον server Zero-knowledge
    Πού κρυπτογραφείται Στον server Στον browser σου
    Ποιος έχει το κλειδί Ο server Μόνο εσύ
    Αν κλαπεί η βάση Κινδυνεύει, αν κλαπεί και το κλειδί Ο κλέφτης έχει μόνο κρυπτογραφήματα
    Αν ξεχάσεις τον κωδικό Ο πάροχος σε επαναφέρει Χρειάζεσαι recovery key

    Η τελευταία γραμμή είναι το τίμημα. Αν κάποιος μπορεί να σε επαναφέρει χωρίς το δικό σου κλειδί, τότε μπορεί να διαβάσει και τους κωδικούς σου.

    Τι γίνεται όταν γράφεις το master password

    1. Το master password δεν φεύγει ποτέ από τον browser. Δεν είναι ο κωδικός σύνδεσης στην εφαρμογή· είναι άλλο πράγμα.
    2. Περνά από το Argon2id, έναν αλγόριθμο σχεδιασμένο να είναι σκόπιμα αργός και να θέλει πολλή μνήμη. Αυτό κάνει τις μαζικές δοκιμές κωδικών εξαιρετικά ακριβές για έναν επιτιθέμενο.
    3. Το αποτέλεσμα είναι ένα κλειδί που ξεκλειδώνει το προσωπικό σου κλειδί.
    4. Με αυτό ανοίγεις τα κλειδιά των συλλογών που δικαιούσαι, και με αυτά τους κωδικούς, που είναι κρυπτογραφημένοι με AES-256-GCM.

    Όλα αυτά γίνονται σε κλάσματα δευτερολέπτου, στη μνήμη της καρτέλας. Ένα refresh, ένα «κλείδωμα» ή λίγα λεπτά αδράνειας τα σβήνουν.

    Πώς μοιράζεσαι κωδικούς χωρίς να τους δει ο server

    Εδώ είναι το έξυπνο κομμάτι. Κάθε μέλος της ομάδας έχει ένα ζεύγος κλειδιών: ένα δημόσιο, που το ξέρουν όλοι, και ένα ιδιωτικό, που το ανοίγει μόνο ο ίδιος. Κάθε συλλογή (π.χ. ένα project) έχει ένα δικό της κλειδί.

    Όταν ένας developer παίρνει πρόσβαση σε ένα project, ο browser κάποιου που ήδη έχει το κλειδί της συλλογής το «τυλίγει» με το δημόσιο κλειδί του developer. Ο server μεταφέρει αυτό το πακέτο, αλλά δεν μπορεί να το ανοίξει. Μόνο ο developer, με το δικό του master password.

    Ο ρόλος του serverΟ server αποφασίζει σε ποιον δίνει κάθε κρυπτογράφημα, με βάση τον ρόλο και την πρόσβαση ανά project. Δεν μπορεί όμως να δει τι περιέχει.

    Τι προστατεύει, με απλά λόγια

    • Διαρροή βάσης ή backup: κανένας κωδικός δεν διαβάζεται.
    • Περίεργος διαχειριστής server: δεν βλέπει τίποτα.
    • Developer χωρίς πρόσβαση σε project: δεν έχει το κλειδί, άρα δεν ανοίγει τους κωδικούς του, ακόμα κι αν πάρει τα δεδομένα.

    Τα όρια (που κάθε σοβαρός πάροχος λέει)

    Κανένα σύστημα δεν είναι μαγικό. Το zero-knowledge δεν σε προστατεύει από:

    • Μολυσμένη συσκευή. Αν ο υπολογιστής σου έχει keylogger, το master password κλέβεται όταν το γράφεις.
    • Αλλαγμένο κώδικα. Σε μια web εφαρμογή, κάποιος με πρόσβαση στον server θα μπορούσε θεωρητικά να σερβίρει τροποποιημένο JavaScript. Γι’ αυτό μετρούν το 2FA, το ιστορικό και η ασφάλεια του ίδιου του server.
    • Αδύναμο master password. Το Argon2id κάνει τις δοκιμές ακριβές, όχι αδύνατες. Μια φράση τεσσάρων ή πέντε τυχαίων λέξεων είναι πολύ καλύτερη από ένα «σύνθετο» κοντό κωδικό.

    Ανάκτηση χωρίς πίσω πόρτα

    Αφού κανείς δεν μπορεί να σε επαναφέρει, χρειάζεσαι δύο δίχτυα ασφαλείας:

    1. Recovery key: ένας μεγάλος κωδικός που παίρνεις την πρώτη μέρα και φυλάς εκτός συστήματος (τυπωμένος, σε χρηματοκιβώτιο). Ανοίγει το θησαυροφυλάκιο και ορίζεις νέο master password.
    2. Πρόσβαση έκτακτης ανάγκης: ορίζεις έναν συνεργάτη που μπορεί να ζητήσει πρόσβαση στα κλειδιά σου. Αν δεν απορρίψεις το αίτημα μέσα σε μια αναμονή (π.χ. 7 ημέρες), την παίρνει.

    Συχνές ερωτήσεις

    Αφού ο server δεν βλέπει τίποτα, πώς γίνεται η αναζήτηση;

    Η λίστα με τα ονόματα των στοιχείων αποκρυπτογραφείται στον browser σου όταν ξεκλειδώνεις, και η αναζήτηση γίνεται εκεί. Το μυστικό κάθε στοιχείου έρχεται μόνο όταν πατήσεις «Εμφάνιση».

    Είναι πιο αργό;

    Το ξεκλείδωμα θέλει ένα δευτερόλεπτο περίπου, λόγω του Argon2id. Μετά, όλα είναι στιγμιαία.

    Τι σημαίνει AES-256-GCM;

    Είναι το πρότυπο κρυπτογράφησης που χρησιμοποιούν τράπεζες και κυβερνήσεις. Το GCM σημαίνει ότι κάθε κρυπτογράφημα έχει και έλεγχο ακεραιότητας: αν κάποιος το αλλάξει έστω κατά ένα bit, η αποκρυπτογράφηση αποτυγχάνει αντί να δώσει λάθος αποτέλεσμα.

    Μπορεί ο βοηθός AI να δει τους κωδικούς;

    Όχι. Δεν έχει το κλειδί, όπως δεν το έχει ο server. Δουλεύει μόνο με την καταγραφή projects και πόρων.

  • Διαχείριση κωδικών για agencies και ομάδες development: ο πλήρης οδηγός

    Διαχείριση κωδικών για agencies και ομάδες development: ο πλήρης οδηγός

    Μια agency δεν διαχειρίζεται τους δικούς της κωδικούς. Διαχειρίζεται τους κωδικούς των πελατών της: hosting, domains, admin των sites, Stripe, Google, βάσεις, API keys. Αν διαρρεύσουν, το πρόβλημα δεν είναι ένας λογαριασμός· είναι η εμπιστοσύνη σαράντα πελατών. Αυτός ο οδηγός περιγράφει πώς το οργανώνεις σωστά.

    Πού βρίσκονται σήμερα οι κωδικοί σου

    Αν είσαι ειλικρινής, μάλλον σε περισσότερα από ένα από αυτά:

    • Ένα Excel ή Google Sheet «Κωδικοί πελατών».
    • Μηνύματα σε Viber, Slack ή email.
    • Τον browser κάποιου developer.
    • Ένα αρχείο .env σε laptop, ή χειρότερα, σε repository.
    • Έναν password manager με έναν κοινό λογαριασμό για όλη την ομάδα.

    Το κοινό σε όλα: δεν ξέρεις ποιος είδε τι. Και χωρίς αυτό δεν μπορείς να απαντήσεις στη μόνη ερώτηση που μετρά όταν κάποιος φεύγει: «ποιους κωδικούς πρέπει να αλλάξουμε;».

    Η σωστή δομή: μία συλλογή ανά project

    Οργάνωσε τους κωδικούς όπως οργανώνεις τη δουλειά. Κάθε project έχει τη δική του συλλογή, και υπάρχει μία «Γενική» για τα εταιρικά (λογιστικό, τράπεζα, εταιρικό email).

    • Ο developer που δουλεύει στο e-shop βλέπει τους κωδικούς του e-shop. Όχι της τράπεζας, όχι των άλλων πελατών.
    • Κάθε κωδικός δένεται με τον πόρο του: ο κωδικός του hPanel με τον VPS, ο κωδικός του Stripe με τον λογαριασμό πληρωμών.
    • Οι ιδιοκτήτες και οι διαχειριστές βλέπουν όλες τις συλλογές.

    Τι αποθηκεύεις, πέρα από κωδικούς

    Είδος Παράδειγμα
    Σύνδεση Χρήστης, κωδικός, διεύθυνση σύνδεσης, και 2FA
    API key Κλειδί Stripe, Resend, Anthropic, με όνομα και περιβάλλον
    Βάση δεδομένων Host, θύρα, χρήστης, κωδικός, connection string
    Κλειδί SSH Ιδιωτικό κλειδί και passphrase
    Αρχείο .env Ολόκληρο το αρχείο ρυθμίσεων ενός περιβάλλοντος
    Σημείωση Recovery codes, απαντήσεις ασφαλείας, PIN

    Το 2FA δεν είναι προαιρετικό

    Κάθε λογαριασμός που το υποστηρίζει πρέπει να έχει δεύτερο παράγοντα. Το πρόβλημα στην ομάδα είναι ότι ο κωδικός 2FA ζει στο κινητό ενός ανθρώπου. Η λύση είναι να αποθηκεύεις το κλειδί TOTP (το μυστικό πίσω από το QR) δίπλα στον κωδικό, ώστε όποιος έχει πρόσβαση στη συλλογή να βλέπει τον ζωντανό εξαψήφιο κωδικό.

    Και για το ίδιο το εργαλείοΤο εργαλείο που κρατά τους κωδικούς πρέπει να έχει υποχρεωτικό 2FA για όλους, χωρίς εξαιρέσεις. Ένας λογαριασμός χωρίς 2FA είναι η πόρτα για όλους τους υπόλοιπους.

    Γιατί έχει σημασία το zero-knowledge

    Σε ένα κλασικό σύστημα, ο server κρυπτογραφεί τους κωδικούς με δικό του κλειδί. Αν κάποιος πάρει τον server, παίρνει και το κλειδί. Σε ένα zero-knowledge σύστημα, η κρυπτογράφηση γίνεται στον browser σου, με κλειδί που βγαίνει από το master password σου. Ο server κρατά μόνο κρυπτογραφήματα που δεν μπορεί να ανοίξει. Η διαφορά εξηγείται αναλυτικά στο άρθρο για το zero-knowledge.

    Ιστορικό: ποιος είδε τι

    Κάθε «Εμφάνιση» ενός κωδικού πρέπει να γράφεται: ποιος, ποιον κωδικό, πότε, από πού. Αυτό δεν είναι καχυποψία· είναι η βάση για να ξέρεις τι αλλάζει όταν αλλάζει η ομάδα. Το ίδιο ισχύει για τις εκδόσεις: όταν αλλάζεις έναν κωδικό, ο παλιός μένει στο ιστορικό για την περίπτωση που η αλλαγή δεν πέρασε στον πάροχο.

    Όταν φεύγει κάποιος

    Η αφαίρεση πρόσβασης δεν αρκεί. Ό,τι είδε ο άνθρωπος που έφυγε, το ξέρει. Ο μόνος ασφαλής δρόμος είναι να αλλάξουν οι κωδικοί που είδε. Ένα καλό σύστημα τους σημειώνει αυτόματα «Θέλει αλλαγή» μόλις αφαιρεθεί η πρόσβαση. Η πλήρης λίστα βημάτων είναι στο offboarding ενός developer.

    Πώς στέλνεις έναν κωδικό σε πελάτη

    Ποτέ σε email ή chat, όπου μένει για πάντα. Η σωστή μέθοδος είναι ο σύνδεσμος μίας χρήσης: ο κωδικός κρυπτογραφείται με κλειδί που μπαίνει μέσα στον σύνδεσμο (μετά το #, που δεν στέλνεται ποτέ στον server), λήγει σε λίγες ώρες ή μέρες και ανοίγει μία φορά. Για επιπλέον ασφάλεια, βάζεις και μια φράση που λες στον πελάτη τηλεφωνικά.

    Υγεία κωδικών: τι ελέγχεις κάθε μήνα

    • Αδύναμοι κωδικοί: μικροί ή προβλέψιμοι.
    • Ίδιοι κωδικοί σε διαφορετικούς λογαριασμούς.
    • Διαρροές: έλεγχος με το Have I Been Pwned, με τη μέθοδο k-anonymity, ώστε να φεύγουν μόνο οι 5 πρώτοι χαρακτήρες του hash και ποτέ ο κωδικός.
    • Παλιοί κωδικοί: πάνω από έναν χρόνο χωρίς αλλαγή σε κρίσιμους λογαριασμούς.

    Μετάβαση από το Excel

    1. Στήσε τις συλλογές ανά project.
    2. Κάνε εισαγωγή από τον password manager που ήδη έχεις, αν έχεις.
    3. Πέρασε με το χέρι ό,τι ήταν σε Excel ή σημειώσεις.
    4. Σβήσε τα αρχεία και άδειασε τον κάδο.
    5. Άλλαξε τους κωδικούς που κυκλοφόρησαν σε chat ή email.

    Συχνές ερωτήσεις

    Δεν αρκεί ένας κοινός λογαριασμός σε έναν password manager;

    Όχι, γιατί όλοι βλέπουν τα πάντα και δεν ξέρεις ποιος είδε τι. Όταν κάποιος φεύγει, πρέπει να αλλάξεις όλους τους κωδικούς, ή κανέναν.

    Τι γίνεται αν ξεχάσω το master password;

    Σε zero-knowledge σύστημα κανείς δεν μπορεί να το επαναφέρει για σένα. Γι’ αυτό υπάρχει το recovery key, που φυλάς εκτός συστήματος από την πρώτη μέρα, και η πρόσβαση έκτακτης ανάγκης για έναν δεύτερο διαχειριστή.

    Πρέπει να έχουν όλοι οι developers πρόσβαση σε όλους τους κωδικούς;

    Όχι. Κάθε developer βλέπει τα projects στα οποία δουλεύει. Αν χρειαστεί κάτι άλλο προσωρινά, η πρόσβαση δίνεται με ημερομηνία λήξης.

    Πού βάζω τα αρχεία .env;

    Στο θησαυροφυλάκιο, ως ολόκληρο αρχείο ανά περιβάλλον, και ποτέ στο repository. Αν ήδη υπάρχουν σε repo, δες πώς τα βρίσκεις και τι κάνεις.