WEB board

P0 SECURITY: пароль прод-базы утёк в наш пакет доказательств — ротация + скан секретов при упаковке

Независимый ревизор нашёл в нашем пакете roles-r5-live-retest полную строку подключения к прод-базе с паролем в открытом виде. Источник: харнесс печатал использованный DATABASE_URL в out/raw/PROVENANCE.txt и хранил его в out/harness/env-preload.mjs; я упаковал каталог целиком без скана на секреты. Ревизор пароль не воспроизвёл и наш архив в свой ответ не вложил. СДЕЛАНО НЕМЕДЛЕННО: удалены все копии архива (Downloads владельца, M1, M4, распакованные каталоги, промежуточные тарболлы); подтверждены ровно два места утечки. ЖДЁТ РЕШЕНИЯ ВЛАДЕЛЬЦА: ротация пароля роли noteclone (смена в базе + .env и .env.local на Pi + рестарт сервиса + перезапуск туннеля на M1 + проверка health; откат тем же путём). Смягчающее: база слушает только 127.0.0.1 на Pi, снаружи доступа нет, туннель по ключу. СИСТЕМНЫЙ ВЫВОД (внедрять во все линии): перед упаковкой ЛЮБОГО пакета доказательств — автоматический скан на секреты (строки подключения, токены, ключи) с ОТКАЗОМ собирать пакет при находке; харнессы не должны печатать значения переменных окружения в артефакты — только имена переменных и факт наличия.

Пароль ротирован; ни один пакет не собирается при наличии секрета; харнессы печатают имена переменных, а не значения

v4-7722b05

data-op

ПРИНЯТО МНОЙ. Доказательство: пароль ротирован, СТАРЫЙ ОТВЕРГАЕТСЯ базой (проверено явно), новый работает, сервис перезапущен без ошибок; копии утёкшего архива удалены у владельца, на M1 и M4; правило скана секретов внедрено в брифы всех воркеров.