nqh-dev-secretslisted

# /secrets Giao việc cho agent mà không trao chìa khoá, và đẩy code mà không làm lộ gì. --- ## Khi nào dùng Đọc file này trước khi làm bất cứ việc nào sau đây: - Chạm tới API key, secret, `.env`, biến môi trường - Nối một API hoặc MCP mới vào agent - Commit hoặc push, nhất là lần đầu của một dự án - Cho người thứ hai, hoặc một agent khác, vào repo của mình - Dựng CI, hoặc quyết định luật nào cần tự động kiểm - Gặp câu "merge rồi mà trang không đổi" --- ## 1. Hai loại chìa khoá, đừng nhầm **Public key** giống số tài khoản ngân hàng. Ai biết cũng được. **Private key** (secret key) giống mật khẩu Internet Banking. Lộ là mất. Nhiều dịch vụ gọi cả hai đều là "API key". Luật một dòng: > Key nào bắt đầu bằng `sk_`, `sb_secret_`, `secret`, `service_role`, hoặc dịch vụ > gọi nó là **secret**, thì **không bao giờ rời khỏi máy bạn**. --- ## 2. Lưu ở đâu, ba tầng | Tầng | Công cụ | Dùng khi | |---|---|---| | Quản lý mật khẩu | 1Password, Bitwarden, Doppler | Nguồn sự thật cho cả team. Agent phải hỏi quyền mỗi lần lấy | | Secret của chính nền tảng | Vercel env, GitHub Actions secrets, Supabase Vault, Cloudflare Workers secrets | Key chỉ dùng cho một dịch vụ | | Kho khoá chuyên dụng | AWS Secrets Manager, Google Secret Manager, HashiCorp Vault | Nhiều môi trường, cần nhật ký ai lấy key lúc nào | Trên máy: macOS Keychain, `.env` nằm trong `.gitignore` không ngoại lệ, và `.env.example` chỉ chứa **tên biến, không chứa giá trị**. ### Bốn chỗ người ta thật sự mất key ``` export