token·password를 안전하게 관리하는 방법

가장 중요한 규칙

공개돼도 괜찮은 값만 source code에 적습니다. password, API token, private key, Telegram Bot token은 code 밖에 둡니다.

값을 넣는 위치

값	저장 위치	GitHub commit
사이트 이름·공개 URL	site-config.js	가능
Telegram public URL	site-config.js	가능
Telegram Bot token	Cloudflare Secret	금지
관리자 password	hash로 Database	금지
Cloudflare API token	GitHub Actions Secret	금지

.gitignore 예시

.env
.env.*
!.env.example
*.db
*.sqlite
node_modules/
dist/
private/
*.pem
*.key

실수로 공개했을 때

노출된 token을 즉시 revoke
새 token 발급
서비스 Secret에 새 값 등록
Git history에서 민감 파일 제거
접근 log 확인

관리자 login

password 원문을 Database에 저장하지 않고 PBKDF2, Argon2id 같은 password hashing을 사용합니다. session cookie에는 HttpOnly, Secure, SameSite를 적용하고 login 시도에는 rate limit을 둡니다.

초보자에게 가장 안전한 운영

처음 블로그는 server와 secret이 전혀 없는 정적 웹으로 시작합니다. 동적 기능이 꼭 필요할 때만 별도 API를 추가하면 공격 surface와 설정 실수를 줄일 수 있습니다.