CẢNH BÁO THỰC TẾ Một secret từng xuất hiện trong repository, log CI, artifact hoặc ảnh chụp màn hình phải được xem là đã lộ. Xóa dòng mã, force-push hoặc che log không thu hồi được bản sao đã bị clone, cache, lưu trong lịch sử hay bị dùng trước đó. Quy trình ứng phó tối thiểu: 1. Thu hồi hoặc xoay vòng secret tại hệ thống phát hành secret ngay lập tức; không chờ dọn lịch sử Git. 2. Kiểm tra audit log trong khoảng thời gian secret có thể đã lộ, bao gồm đăng nhập, API call, token tạo mới và thay đổi quyền bất thường. 3. Xác định phạm vi lan truyền: repo fork, CI log, artifact, máy developer, ticket và kênh chat. 4. Lập sự cố có owner, mốc thời gian, ảnh hưởng và hành động phòng ngừa. Phòng ngừa bền vững là dùng secret manager, inject secret lúc chạy hoặc deploy, cấp quyền tối thiểu, thời hạn ngắn và tách secret theo môi trường. Quét secret trước commit, trong CI và khi kiểm tra lịch sử. Redaction log chỉ giảm khả năng hiển thị, không thay thế rotation và quản lý secret đúng cách. Mục tiêu là khiến một secret bị lộ có phạm vi nhỏ, vòng đời ngắn và có thể thu hồi nhanh.