In der Programmierung sagt man oft: "Wenn es funktioniert, nicht anfassen." Aber in Wirklichkeit ist es nicht nur wichtig, dass es „funktioniert“, sondern auch, dass keine unbefugten Personen Zugriff auf die Datenbank, Schlüssel, Protokolle oder Benutzerdaten erhalten haben.
Wenn Sie nicht nur ein Entwickler sein wollen, sondern zuverlässig Entwickler, hier ist eine Liste typischer Fehler, die dich wirklich deinen Job kosten können – besonders wenn es um die Produktion geht.
❌ Fatale Fehler, die wirklich zur Entlassung führen
Fehler 🧨 | Was kann passieren 📉 |
|---|---|
Commit des geheimen Schlüssels in Git | Verlust des Zugangs zur Infrastruktur, Einbruch in Lagerräume |
Offene Datenbank ohne Autorisierung | Leak von personenbezogenen Daten von Nutzern |
API-Schlüssel in JS auf der Frontend-Seite | Ein Angreifer kann sie verwenden |
Ignorieren von CORS, CSRF, XSS | Bedrohungen durch Datenmanipulation, Diebstahl von Sitzungen |
Keine Protokollierung von Hacking-Versuchen | Du wirst nicht einmal wissen, dass du angegriffen wurdest |
Protokolle mit Passwörtern, Token oder Karten 💳 | Direkter Gesetzesverstoß (z. B. DSGVO) |
🔍 Wo werden Produkte am häufigsten „durchgesickert“?
.env-Dateien in git - Vergiss es ein für alle Mal. Füge
.envzu.gitignorehinzu.Offene S3-Buckets / GCS-Buckets — wie man alle Dokumente des Unternehmens für das Internet öffnet.
Öffentliches GitHub mit Token — Ihr AWS-Konto kann in wenigen Minuten gehackt werden.
Direkte SQL-Abfrage ohne Escaping — Klassiker: SQL-Injektionen.
Identische Passwörter für Administratoren und Benutzer — besonders lustig, wenn es
admin:administ.
✅ Was jeder Entwickler wissen sollte (und bei der Überprüfung beachten sollte)
Was Sie wissen sollten 📚 | Wie man es verhindern kann ❗️ |
|---|---|
Was ist .env und warum gitignore | Überprüfen Sie |
Wie funktioniert Autorisierung und Authentifizierung? | Verwenden Sie JWT oder OAuth2, speichern Sie keine Passwörter im Code |
Was ist CORS, CSRF, XSS | Füge Sicherheits-Header hinzu, überprüfe Token |
Wie man Daten verschlüsselt | bcrypt, AES, TLS. Passwörter — nur im Hash |
Protokolle und Überwachung | Schreiben Sie keine sensiblen Daten in Produktionsprotokolle |
🧠 Echte Fälle aus dem Leben
Uber (2016) — AWS-Token in einem privaten Repository. Die Daten von 57 Millionen Nutzern wurden gestohlen.
GitGuardian (2023) — mehr als 10 Millionen Schlüssel-Lecks in offenen Repositories erfasst.
Startup Dev → Telegram-Bot — Commit '.env', nach einem Tag sendet der Bot 40.000 Spam-Nachrichten.
🛡 Checkliste vor dem Push für die Produktion
✅ Alle '.env' und Schlüssel in '.gitignore'
✅ Überprüfung von Token durch GitGuardian
✅ CORS-, CSRF-, XSS-Tests
✅ Geschützte 403 und 401 auf privaten Routen
✅ Protokolle ohne Token und Passwörter
✅ Passwörter werden gehasht
✅ Zugriff auf die Datenbank über VPN
✅ Alte Token entfernt
✅ Minimale Zugriffsrechte
🤖 Und wenn du ein Neuling bist?
Solche Fehler sind leicht zu machen, wenn man lernt - aber es ist besser, sich sofort zu entwickeln sichere Gewohnheiten.
Im Anhang Kodik finden Sie Übungen zu den Themen: .env, Arbeiten mit Token, sichere Eingabe, Einrichten von Berechtigungen, sichere Speicherung von Passwörtern und vieles mehr.
Schreibe nicht nur Code, sondern sicheren Code.
Hast du jemals versehentlich .env commited? Oder möchtest du sicherer im Code werden? Schreiben Sie uns und wir werden einen Artikel über Sicherheit in Frontend, Backend oder DevOps erstellen ✍️