Аудит и токен-гигиена

Пакет с уязвимостью в зависимостях и токен в репозитории — самые дешёвые способы скомпрометировать проект. Оба решаются за минуту, если сделаны привычкой.

Аудит зависимостей

npm audit               # список уязвимостей с критичностью
npm audit fix           # автоматическое обновление
npm audit --audit-level=high --json  # для CI: падать на критичном

# или провизии:
npm outdated            # версии, что застряли на месте

Секреты: правила

• API-ключи, пароли, DSN — только в переменных окружения (урок 49);
• .env — в .gitignore всегда, в репозитории — только .env.example с заглушками;
• утечка случилась — отозвать ключ сразу, а не «потом»;
• просканировали git-историю — gitleaks/GitHub secret scanning отловят старые ключи.

# .gitignore
node_modules/
dist/
.env
*.local