#secrets

Le secret que l'agent ne voit jamais

Le volet précédent avait retiré les clés SSH permanentes du poste. Restait l'autre moitié : quatre-vingts jetons d'API en clair dans un fichier, que n'importe quel process pouvait lire. Cette fois, on ne remplace pas un secret par un meilleur secret — on fait en sorte que le secret ne soit plus là du tout. Il vit ailleurs et s'injecte en transit ; l'agent qui appelle l'API ne voit jamais sa valeur. Avec une nuance qui a fini par structurer tout le reste : le bon outil dépend de qui consomme le secret.