API Key, AWS Secret ali Stripe Live Token, namenjen javnemu repoju GitHub: avtomatizirano strganje z botom v 60 sekundah, takojšnja rotacija ključa in preklop za zaračunavanje¶

V trenutku, ko tečeš git push v javni repozitorij GitHub, GitLab ali Bitbucket (or temporarily flip a private repository to "Public" for even 10 seconds) med datoteko, .env konfiguracija, prenosni računalnik Jupyter (.ipynb), ali starejša zgodovina objave Git vsebuje skrivni ključ v živo (such as an AWS Access Key ID starting with AKIA, a Stripe Live Secret Key sk_live_, an OpenAI key sk-proj-, an Anthropic key sk-ant-, or a Google Cloud service account .json), globalno omrežje avtomatiziranih botov za zbiranje poverilnic to skrivnost prestreže v 2 do 60 sekundah. Ker je GitHub javen Events API, GH Archive, in požarne cevi webhook v realnem času pretakajo vsako javnost PushEvent globalno zlonamerni roboti za strganje razčlenijo vaš diff z regularnimi izrazi in začnejo izvajati avtomatizirane ukaze v oblaku, še preden lahko vnesete git revert.

Znotraj 90 seconds od an AWS oz GCP skrivnost zadene javni repo, avtomatizirani botneti zavrtijo primerke GPE/CPE največje velikosti (such as p4d.24xlarge or c6i.32xlarge čez nejasna območja, kot je ap-east-1 Hong Kong, me-south-1 Bahrajn oz sa-east-1 Sao Paulo) za rudarjenje Monera (XMR), zahtevajte preprosto e-poštno storitev AWS (SES) povečanje kvote za razstreljevanje neželene pošte z lažnim predstavljanjem ali kloniranje vašega zasebnega S3 vedra in RDS baze podatkov, ki ustvarjajo $5,000 to $80,000+ na računih za računalništvo v oblaku čez noč. Podobno je ušlo OpenAI oz Anthropic Ključ API-ja je takoj združen v podzemne tržnice LLM "reverse-proxy", ki črpajo na tisoče dolarjev kreditov žetonov na minuto, medtem ko je pricurljal Stripe skrivni ključ v živo (sk_live_...) napadalcem podeljuje popoln programski dostop za branje/pisanje za izdajanje goljufivih povračil, izvozna stranka PII, ali sproži nepooblaščena izplačila Connect. Če napadalec aktivno izsiljuje vašo organizacijo, potem ko je z vašim razkritim ključem izbrskal baze podatkov strank, se obrnite na lokalne organe kazenskega pregona in telefonske številke za kibernetske incidente prek naše številke za klic v sili nemudoma in preglejte naše povezane vodnike naključni padec produkcijske baze podatkov, git force-push in triaža skrivnih uhajanj, proizvodna zbirka podatkov je padla ali vedro S3 izbrisano brez nedavne varnostne kopije, in varnost dela na daljavo v sili in zasebnost podatkov.

Naredi to zdaj¶

1. NE zapravite prvih 60 sekund teka git rm .env oz git push --force: POJDI NEPOSREDNO NA KONZOLO PONUDNIKA (AWS IAM, Stripe, OpenAI, GCP) IN PREKLIC/DEAKTIVIRANJE KLJUČA IN < 30 SECONDS. Brisanje datoteke v novi objavi Git (or even making the GitHub repository Private) ne naredi ničesar, da bi zaustavil robote, ki so pred 10 sekundami že postrgali vaš ključ iz požarne cevi GitHub Events. Sam ključ je treba najprej uničiti pri izvoru.
2. Če an AWS ključ (AKIA... oz ASIA...) ušlo: Odprto AWS IAM -> Users -> Security credentials in takoj kliknite Deaktiviraj / Izbriši na ključu za dostop, nato priložite AWSCompromisedKeyQuarantineV2 (or a blanketZavrni *inline policy) uporabniku IAM in poveča uporabnikovo RevokeOldSessions politiko za ubijanje vseh začasnih STS žetoni, ki jih je napadalec že skoval (see the exact STS bypass trap below).
3. Če a Stripe Skrivni ključ v živo (sk_live_... oz rk_live_...) ušlo: Pojdi na dashboard.stripe.com/apikeys, kliknite ... -> Roll key in nastavite potek veljavnosti starega ključa na "Zdaj (Immediately)" (NOT "in 24 hours"). Takoj preverite Stripe Dashboard -> Logs in Balance -> Payouts / Refunds za nepooblaščene klice API-ja.
4. Če an OpenAI, Anthropic, Google Gemini, oz SendGrid / Twilio ključ je ušel: Takoj izbrišite ključ API na nadzorni plošči ponudnika in nastavite Hard Monthly Spend Limit ($0 ali vaša običajna omejitev) v nastavitvah obračunavanja, da prekinete zahteve za pretakanje med letom.
5. Počisti VSE regije oblaka (especially disabled/opt-in regions) za lažne instance EC2, funkcije Lambda, opravila ECS, vedra S3 in uporabnike IAM za zalednimi vrati, ki jih ustvari bot med 2-minutnim oknom izpostavljenosti. Napadalci posebej zaženejo instance kripto rudarjenja v regijah, ki jih nikoli ne kliknete v konzoli (like Stockholm eu-north-1, Osaka ap-northeast-3, or Mumbai ap-south-1) in ustvarite drugega skritega uporabnika IAM (or SSH key pair), tako da lahko ostanejo v vašem računu, potem ko izbrišete razkriti ključ.
6. Šele PO tem, ko je skrivnost preklicana in zakulisni računi IAM očiščeni, počistite objavo iz Gita (using git-filter-repo) IN se obrnite na podporo za GitHub (or remove cached PR/commit views), da počistite viseče predpomnilnike SHA, nato vložite AWS / GCP Accidental Leak Billing Waiver Request, če so roboti naložili ogromen račun v oblaku.

Odločitveno drevo: 60-sekundni odziv v sili glede na vrsto razkrite skrivnosti¶

Sledite temu diagramu poteka za zadrževanje incidenta, da uničite ogroženo poverilnico, ločite vztrajnost napadalca in obrnete zaračunavanje v oblaku.

flowchart TD
    A["Live Secret, predana javnemu repoju GitHub/GitLab (.env, izvorna koda ali zgodovina git)"] --> B["DRUGI OD 0 DO 30: Najprej NE zaženite git rm. Odprite konzolo ponudnika Cloud/API in nemudoma PREKLICAJTE ključ"]
    B --> C{"Katera vrsta poverilnice v živo je bila razkrita?"}
    C -->|"1. Ključ za dostop do AWS (AKIA ... / ASIA ...)"| D["1. Deaktiviraj/izbriši ključ v IAM 2. Pripni vgrajeni pravilnik 'Zavrni vse' uporabniku (uniči kovane žetone STS) 3. Revizija CloudTrail za backdoor uporabnike IAM"]
    C -->|"2. Tajni ključ Stripe Live (sk_live_... / rk_live_...)"| E["1. Roll Key z iztekom = 'Immediate' 2. Preverite /v1/refunds, /v1/transfers & Webhook Endpoints 3. Ocenite izpostavljenost PII stranke"]
    C -->|"3. OpenAI (sk-proj-...), Anthropic (sk-ant-...) ali Gemini Key"| F["1. Prekličite ključ v konzoli za razvijalce 2. Začasno znižajte omejitev trdega zaračunavanja organizacije na 0 USD 3. Preverite dnevnike uporabe za praznjenje žetonov"]
    C -->|"4. URI zbirke podatkov (postgres://, mongodb+srv://) ali URL Redis"| G["1. Takoj zasukajte geslo DB 2. Zaženite pg_terminate_backend() / KILL, da prekinete aktivne povezave 3. Zaklenite varnostno skupino samo na IP-je VPC"]
    D --> H["Zaženite Multi-Region Compute Sweep (prekinite Rogue EC2/EKS/SageMaker/Lambda v vseh 30+ regijah)"]
    E --> I["Očistite zgodovino Git prek 'git filter-repo' + počistite predpomnjene poglede GitHub Commit SHA"]
    F --> I
    G --> I
    H --> J{"Ali so avtomatizirani roboti nabrali račun v oblaku za 1000 do 100.000 $+?"}
    J -->|"DA"| K["Odprite primer podpore pri obračunavanju AWS/GCP -> Predložite varnostno revizijo po sanaciji + zahtevajte enkratno odpuščanje goljufije/uhajanja"]
    J -->|"št"| I

1. del: Od ponudnika do ponudnika Kill-Switch & Forenzična matrika (First 5 Minutes)¶

Uporabite to referenčno tabelo, da poiščete natančen gumb za preklic, samodejno vedenje skrivnega skeniranja GitHub in skriti vektor obstojnosti za vašo razkrito poverilnico.

2. del: Poglobljeni potop: Kako izgnati napadalca iz vašega računa AWS (The 4-Step Cloud Eviction Protocol)¶

Ker je ušlo AWS poverilnice nosijo največji radij finančne eksplozije (up to $50,000+ per day in EC2/SageMaker/Bedrock bills), morate izvesti vse štiri spodnje korake, kadar koli AKIA... oz ASIA... ključ zadene javno skladišče:

+-----------------------------------------------------------------------------+
|     ANATOMY OF A 60-SECOND AUTOMATED AWS GITHUB SCRAPER BOT ATTACK          |
+-----------------------------------------------------------------------------+
|                                                                             |
|  [ SEC 00 ] Developer runs 'git push origin main' with .env (AKIA...)       |
|       |                                                                     |
|  [ SEC 04 ] Bot scrapes GitHub Events API Firehose -> Extracts AKIA key     |
|       |                                                                     |
|  [ SEC 06 ] Bot calls 'sts:GetCallerIdentity' & 'sts:GetSessionToken'       |
|       |     (Mints temporary ASIA... token that survives AKIA deletion.)    |
|       v                                                                     |
|  +----+------------------------------------------------------------------+  |
|  | [ SEC 15 TO 90: PARALLEL MULTI-REGION EXPLOITATION ]                  |  |
|  |  1. Persistence: Calls 'iam:CreateUser' / 'iam:CreateAccessKey'       |  |
|  |     (Creates hidden user 'aws-support-backup' with AdministratorAccess)|  |
|  |  2. Compute Abuse: Launches Auto-Scaling Groups of c6i.32xlarge /     |  |
|  |     g5.48xlarge in 12 regions + AWS Bedrock / SageMaker LLM endpoints |  |
|  |  3. Spam Abuse: Calls 'ses:PutAccountSendingAttributes' (50k emails)  |  |
|  |  4. Data Exfiltration: Lists & downloads S3 buckets / RDS snapshots   |  |
|  +-----------------------------------------------------------------------+  |
+-----------------------------------------------------------------------------+

1. korak: Ubijte statično AKIA Ključ IN vse kovano ASIA Sejni žetoni¶

Brisanje AKIA ključ v konzoli AWS ne začasno razveljavi STS poverilnice že izdal sts:GetSessionToken. Takoj ubiti vse prek AWS CLI (using a separate clean admin profile):

# 1. Delete the compromised Access Key immediately
aws iam delete-access-key --user-name CompromisedUser --access-key-id AKIAIOSFODNN7EXAMPLE

# 2. Attach an explicit 'Deny All' inline policy to the IAM User to immediately
#    invalidate any STS tokens minted by that user AND block all further actions:
aws iam put-user-policy --user-name CompromisedUser --policy-name EmergencyKillSwitch \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [{
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*"
    }]
  }'

2. korak: Poiščite uporabnike, vloge in ključe za dostop IAM za stranskimi vrati v CloudTrail¶

Zaženite te ukaze AWS CLI, da preverite, ali je bot med oknom ustvaril skritega zakulisnega uporabnika IAM ali priložil sekundarni dostopni ključ enemu od vaših obstoječih računov zaposlenih:

# List all IAM users created recently across the account
aws iam list-users --query 'Users[?CreateDate>=`2026-10-30`].[UserName,CreateDate]' --output table

# Audit CloudTrail for every API call made by the compromised user in the last 24 hours
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=Username,AttributeValue=CompromisedUser \
  --max-results 50 \
  --query 'Events[].[EventTime,EventName,EventSource]' --output table

3. korak: Pometite vse 30+ Regije AWS za primerke Rogue EC2, skupine za samodejno skaliranje in opravila Bedrock/SageMaker¶

Zakaj žrtve še vedno prejemajo a $12,000 račun ob koncu meseca, potem ko so "preverili nadzorno ploščo EC2 in videli nič primerov"? Ker konzola AWS prikazuje samo eno regijo naenkrat (e.g., us-east-1), medtem ko se je bot zavrtel 20 primerki v ap-south-1 (Mumbai), eu-north-1 (Stockholm), in sa-east-1 (Sao Paulo) in jih skrila znotraj EC2 Auto Scaling Groups (ASGs) tako da, če primerek EC2 prekinete ročno, skupina za samodejno skaliranje zažene nadomestno 30 seconds pozneje.

Zaženite ta enovrstični bash za več regij, da prikažete vse delujoče ali čakajoče primerke EC2 v vsaki aktivni regiji AWS v 10 seconds:

for region in $(aws ec2 describe-regions --query 'Regions[].RegionName' --output text); do
  echo "=== Checking Region: $region ==="
  aws ec2 describe-instances --region "$region" \
    --filters "Name=instance-state-name,Values=running,pending,stopped" \
    --query 'Reservations[].Instances[].[InstanceId,InstanceType,State.Name,LaunchTime]' \
    --output table
done

3. del: Brisanje skrivnosti iz zgodovine Git (git-filter-repo) & Čiščenje GitHubovega predpomnilnika za skrite objave¶

Once the credential is dead at the provider level, you must remove the secret string from your repository's .git commit history so neither coworkers nor future scrapers can see it (and so GitHub's Push Protection stops blocking your branches).

1. Why git rm .env + git commit Does NOT Remove the Secret From Git¶

Running git rm .env && git commit -m "remove env" only removes the file from the latest commit (HEAD); the plaintext secret remains permanently readable inside the parent commit (the parent commit) to anyone who clicks "Commits" on GitHub.

2. Rewrite the Repository History Cleanly Using git-filter-repo¶

1. If only the very last commit (HEAD) contained the secret (and nobody else has pulled it yet):

   # Remove the sensitive file from the staging index while keeping it on your local disk
   git rm --cached .env
   echo ".env" >> .gitignore
   git add .gitignore
   git commit --amend --no-edit
   git push --force-with-lease origin main
   

2. If the secret is buried several commits back in your history (or inside a code file you want to keep): Use git-filter-repo (the official, fast replacement recommended by Git and GitHub instead of the deprecated git filter-branch):

   # Option A: Completely purge a file (.env) from every commit in history
   git filter-repo --path .env --invert-paths --force
   
   # Option B: Replace a specific secret string with '***REMOVED***' across all files in history
   echo "sk_live_51NzExampleSecretKey12345==>***REMOVED***" > expressions.txt
   git filter-repo --replace-text expressions.txt --force
   
   # Force-push the rewritten history to GitHub across all branches and tags
   git push origin --force --all
   git push origin --force --tags
   

3. The Hidden GitHub Cache Trap (Dangling Commit SHAs)¶

Even after you run git filter-repo in git push --force, GitHub's web servers still keep the old, unreferenced ("dangling") commit SHA alive and publicly accessible at https://github.com/<owner>/<repo>/commit/<old-40-char-sha> (and in any forks or Pull Requests) until garbage collection runs. - How to Purge a Cached Commit SHA on GitHub Immediately: 1. Copy the full 40-character commit SHA of the leaked commit before you rewrote history. 2. Odpri https://support.github.com/contact -> zahtevajte »Odstrani občutljive podatke / Počisti predpomnjene poglede za nedosegljivo objavo SHA« v repozitoriju owner/repo in podajte natančen SHA za potrditev (or use the GitHub Support portal's automated cache-purge workflow).

4. del: Kako pridobiti a $5,000 to $100,000+ AWS ali GCP Bot Bill Opuščen (The Courtesy Forgiveness Appeal)¶

Kaj pa, če pritisnete .env datoteko v petek popoldne, preveril svojo e-pošto šele v ponedeljek zjutraj in se zbudil v $28,400.00 Račun za AWS ali Google Cloud iz botov za kripto-rudarjenje ali LLM-proxy?

Do NOT panic, and do NOT cancel your credit card or file a bank chargeback yet. Both Amazon Web Services (AWS) in Google Cloud Platform (GCP) imeti vzpostavljeno notranjo Prilagoditev obračunavanja za enkratno nenamerno uhajanje poverilnic/Politiko uslužbenskega kredita za posamezne razvijalce, študente in zagonska podjetja, pod pogojem, da izpolnite 100% njihovega obveznega kontrolnega seznama za odpravo varnosti preden njihova ekipa za pregled obračunavanja oceni vašo pritožbo.

The 5-Step AWS / GCP Bill Waiver Protocol (90%+ Success Rate for First-Time Leaks)¶

1. Complete Every Security Remediation Step First (AWS Will Reject Your Waiver Until the Account Is Clean):
   • Delete the compromised IAM Access Key (and the IAM User if possible).
   • Terminate every unauthorized EC2 instance, Auto Scaling Group, EBS volume, Elastic IP, RDS instance, and S3 bucket across all regions (verify via AWS Cost Explorer and AWS Billing -> Bills -> Charges by Region that daily accrual has dropped back to $0.00).
   • Enable Hardware or Authenticator App MFA (Multi-Factor Authentication) on your AWS Root Account and every IAM user.
2. Open a Support Case Under "Account and Billing" (Free for All AWS/GCP Tiers, No Paid Support Plan Required):
   • Pojdi na console.aws.amazon.com/support/home -> Create case -> Account and billing -> Service: Billing -> Category: Dispute a Charge / Compromised Account.
3. Predložite ta natančen povzetek dejanskih popravkov in težav:
   • Potrdite časovnico in vzrok: Jasno navedite, kdaj je bil ključ pomotoma razkrit na GitHubu (e.g., "October 30 at 22:14 UTC") and when it was revoked ("October 31 at 09:05 UTC").
   • Itemize the Unauthorized Charges by Region & Service: List the exact dollar amounts of the fraudulent bot activity vs. your normal historical monthly bill (e.g., "My normal monthly AWS bill for the past 8 months is $14.50/month in us-east-1; the unauthorized charges total $18,420.12 across ap-east-1, eu-north-1, and sa-east-1 EC2/Bedrock usage").
   • Confirm 100% Remediation: Bullet-point the exact steps you have already completed (1. Deleted IAM key AKIA...; 2. Terminated all unauthorized resources across all regions; 3. Audited CloudTrail for backdoor users; 4. Enabled Root & IAM MFA; 5. Configured AWS Budgets alerts).
   • Politely Request a One-Time Courtesy Billing Adjustment: Explain that you are an individual developer / student / early-stage startup, that paying an $18,420 unauthorized bot bill would cause severe financial hardship, and ask for a one-time courtesy billing credit/waiver for the fraudulent usage.
4. Temporarily Swap or Cap Your Linked Payment Card If Auto-Billing Is Imminent:
   • While your AWS Billing Support case is under review (which usually takes 5 to 15 business days while the AWS Security and Billing Service Teams verify that all rogue resources are terminated), contact AWS Support inside the ticket and ask them to place a temporary billing hold (defer auto-charge) on the disputed invoice so it does not overdraft your bank account while the credit adjustment is being processed.

(Za povezane varnostne incidente razvijalcev in dela na daljavo glejte Nenamerni padec produkcijske baze podatkov, git force-push, skrivnostno uhajanje in triaža incidentov, Produkcijska baza podatkov je padla ali je vedro S3 izbrisano brez nedavne varnostne kopije, Nenamerno poslana po e-pošti zaupna plačilna lista, osebni podatki stranke ali preglednica HIPAA, in Varnost dela na daljavo v sili in zasebnost podatkov.)

Regionalni organi za poročanje o kršitvah podatkov in varnosti v oblaku¶

Pogosta vprašanja¶

Če bi ugotovil, da sem potisnil .env datoteko v javni repo GitHub in 2 minuti pozneje naredil repo zaseben, ali moram še vedno rotirati svoje ključe?¶

Da, 100 odstotkov ključev v tej datoteki je treba šteti za ogrožene in takoj preklicati. Avtomatizirani roboti za zbiranje poverilnic ne čakajo, da Google indeksira vaše skladišče; neposredno se naročijo na javnost GitHub v realnem času `Events API` gasilska cev (`and GH Archive`), ki oddaja vsak javni `PushEvent` globalno v 1 do 3 sekundah od vašega `git push`. Ko ste dve minuti pozneje kliknili »Nastavitve -> Spremeni vidnost repozitorija -> Naredi zasebno«, je na ducate avtomatiziranih botov za strgalo že preneslo vašo commit diff in vaše poverilnice AWS, Stripe, OpenAI in baze podatkov postavilo v čakalno vrsto za izkoriščanje.

Zakaj so roboti še naprej zaganjali primerke EC2 v mojem računu AWS, tudi potem, ko sem izbrisal razkrito AKIA ključ za dostop?¶

Brisanje statike `AKIA...` dostopni ključ v AWS IAM samo deaktivira določen stalni ključ; ne razveljavlja začasne `ASIA...` Storitev varnostnih žetonov (`STS`) session tokens that the attacker already generated using `sts:GetSessionToken` oz `sts:AssumeRole` v prvih nekaj sekundah po strganju ključa (`which remain valid for up to 12 to 36 hours`). Poleg tega avtomatizirani napadalni skripti AWS redno kličejo `iam:CreateUser` in `iam:CreateAccessKey` že v prvi sekundi dostopa, da ustvarijo drugi skriti skrbniški račun za zakulisje. Če želite popolnoma zaustaviti aktivni vdor v AWS, morate izbrisati `AKIA` ključ, priložite izrecno `Deny *` vgrajeni pravilnik za ogroženega uporabnika IAM (`which immediately invalidates all minted STS tokens`) in nadzira CloudTrail za vse novo ustvarjene uporabnike ali vloge IAM.

Will AWS or Google Cloud forgive a massive $10,000+ račun, če so hekerji ukradli moj API ključ iz GitHuba in rudarili kripto?¶

Pri veliki večini prvih nenamernih uhajanj, da, pod pogojem, da ukrepate hitro, v celoti sodelujete z njihovo varnostno skupino in ne prezrete računa. Tako AWS kot Google Cloud imata notranjo politiko prilagoditve enkratnega zaračunavanja za razvijalce in mala podjetja, ki jih prizadenejo skoki uhajanja nepooblaščenih poverilnic. Preden zahtevate opustitev računa pod podporo za "Račun in obračunavanje", morate najprej dokazati, da je uhajanje 100-odstotno zaprto: preklicati izpostavljene ključe IAM, prekiniti vse lažne računalniške instance in skupine za samodejno skaliranje v vseh 30+ globalnih regijah, omogočiti večfaktorsko avtentikacijo (`MFA`) on your root account, and set up AWS Budgets cost alerts.

Why does git rm .env ne odstranim svojega skrivnega ključa iz GitHuba?¶

Git is an immutable version-control ledger: when you run `git rm .env` and push a new commit, Git only records that the file is absent in the newest snapshot (`HEAD`), while keeping the full plaintext contents of `.env` permanently stored inside the previous commit (`the parent commit`) in your repository's commit history. Even if you rewrite your history with `git filter-repo` and force-push, anyone can still read the secret if you haven't revoked it at the provider console. Always revoke and rotate the secret key in your cloud provider's dashboard first, and then use `git filter-repo` to scrub the dead string from your commit history.

Sorodni vodniki¶

• Nenamerni padec produkcijske baze podatkov, git force-push, skrivnostno uhajanje in triaža incidentov
• Produkcijska baza podatkov je padla ali je vedro S3 izbrisano brez nedavne varnostne kopije
• Accidentally emailed confidential payroll, client PII, or HIPAA spreadsheet to wrong recipient
• Accidental screen share of confidential salary sheet, password manager, or layoff list on Zoom/Teams
• Varnost dela na daljavo v sili in zasebnost podatkov
• Številke za klic v sili

Viri in uradna navodila¶

• Amazon Web Services (AWS Security Incident Response Guide & AWS Knowledge Center: "What should I do if I notice unauthorized activity or exposed IAM access keys?"): AWSCompromisedKeyQuarantineV2 Policy Behavior, Invalidation of Temporary STS Session Tokens (RevokeOldSessions), and Multi-Region Resource Auditing.
• GitHub Documentation (GitHub Secret Scanning, Push Protection, & "Removing sensitive data from a repository" using git-filter-repo): Partner Auto-Revocation Program (Stripe, AWS, OpenAI, NPM), git-filter-repo History Rewriting, and Purging Unreachable Cached Commit SHAs.
• Stripe Inc. (Stripe Developer Security Guide: API Key Rotation & Compromised Key Incident Triage): Immediate sk_live_ Key Expiration, Auditing /v1/events in /v1/webhook_endpoints, and Restricting Keys via rk_live_ Obseg.
• NIST (Special Publication 800-61 Rev. 2 / Rev. 3: Computer Security Incident Handling Guide) & OWASP (Secrets Management Cheat Sheet): Credential Containment, Ephemeral OIDC Workload Identity Federation (replacing static CI/CD keys) in tajno skeniranje pred odobritvijo.