Ключ нужно перевыпустить в кабинете: старое значение перестаёт работать сразу, новое показывается один раз. Дальше остаётся обновить его во всех местах, где он прописан, и проверить, не успел ли кто-то воспользоваться утечкой.
Порядок действий
- Перевыпустите ключ в разделе ключей магазина и сохраните новое значение сразу — второй раз оно не покажется.
- Обновите значение в настройках модуля, в переменных окружения и в сервисах, которые ходят к API.
- Проверьте операции за период с момента утечки: ищите платежи и возвраты, которых вы не инициировали.
- Смените пароли и включите двухфакторную аутентификацию, если ключ утёк вместе с доступом к кабинету.
Как понять, что ключ утёк
- Ключ оказался в репозитории, в переписке или в скриншоте.
- Появились операции, которые не создавал ни один из ваших сервисов.
- Уведомления приходят на адрес, который вы не настраивали.
Как не повторить
- Держите ключи в переменных окружения, а не в коде и не в конфигах под контролем версий.
- Заведите отдельные ключи разным сервисам, чтобы отзыв одного не останавливал всё.
- Перевыпускайте ключи при уходе сотрудника, у которого был к ним доступ.
Как хранить ключи, чтобы такого не случалось, — в отдельном ответе.
