Разработчик случайно закоммитил ключ доступа к платёжному провайдеру и через час удалил его следующим коммитом. Что нужно сделать?

Почему удаление не помогает. Git хранит все версии: объект с ключом доступен по старому коммиту. Репозиторий уже клонирован коллегами и CI, мог попасть в зеркала, кэш хостинга, в логи сборки. В публичных репозиториях ключи облачных провайдеров находят автоматические сканеры за минуты.

Порядок действий:

1. отозвать ключ у провайдера и выпустить новый;
2. обновить секрет во всех окружениях;
3. проверить журнал использования старого ключа: были ли операции не от нас;
4. по желанию — вычистить историю (git filter-repo) и попросить хостинг очистить кэш; это не отменяет первых шагов;
5. разобрать причину и закрыть её.

Профилактика:

• секреты не хранятся в репозитории — только в менеджере секретов (Vault, Yandex Lockbox, AWS Secrets Manager) с контролем доступа, аудитом и ротацией;
• в приложение — через переменные окружения или примонтированные файлы, в Kubernetes — внешние секреты, а не значения в манифестах;
• сканеры секретов: pre-commit (gitleaks), проверка в CI и на хостинге (push protection);
• короткоживущие учётные данные (OIDC для CI, временные токены) вместо вечных ключей.