¿Deben los files involucrados en el certificate SSL mantenerse confidenciales (agregados a .gitignore)?

En el process de configuration de un certificate SSL para mi sitio, se crearon varios files diferentes,

  • server.csr
  • server.key
  • server.pass.key
  • site_name.crt

¿Deben agregarse estos a .gitignore antes de enviar mi sitio a github?

Disculpas de antemano si esta es una pregunta tonta.

Solutions Collecting From Web of "¿Deben los files involucrados en el certificate SSL mantenerse confidenciales (agregados a .gitignore)?"

¿Deben agregarse estos a .gitignore antes de enviar mi sitio a github?

No deberían estar en el repository, es decir, almacenados fuera del repository.
De esa manera:

  • no es necesario que administres un .gitignore ,
  • puedes save esas llaves en un lugar seguro.

GitHub en realidad tuvo que cambiar la function de búsqueda en 2013 después de ver a los usuarios almacenar keys y passwords en repositorys públicos . Vea la historia completa .

El artículo incluye esta cita:

Los errores pueden reflejar el problema educativo general entre los desarrolladores de software.

Cuando tiene progtwigs acelerados, "6 semanas y usted será un verdadero desarrollador de software", para enseñar a desarrollar, la security se convierte en algo secundario. Y teniendo en count que "el 90% del desarrollo consiste en copyr cosas que no entiendes, apostaría a que la mayoría simplemente no sabe qué es id_rsa "

En 2016, este "libro" (como una broma) refleja que:

https://twitter.com/DomBurf/status/707473924137881600


El OP agrega:

Creo que Heroku requiere poner los files en el repository para ejecutar " >heroku certs:add server.crt server.key " y configurar el certificate.

" Configuración y configuration Vars " es una ilustración sobre ese tema:

Una mejor solución es usar variables de entorno y mantener las keys fuera del código . En un host tradicional o que trabaje localmente, puede establecer valores de entorno en su file bashrc. En Heroku, usas config vars.

El artículo " Heroku: SSL Endpoint " no lo obliga a tener esas keys y certificates en su código. Se pueden generar directamente en Heroku y save en cualquier otro lugar para su custodia. Solo que no en un git repo.