Where should you store your API key and sensitive information?

Đáp án đúng: "On a machine you trust in a secure file". API key và thông tin nhạy cảm như mật khẩu, token là chìa khoá truy cập dịch vụ: ai có nó thì dùng được tài nguyên và phát sinh chi phí dưới tên bạn. Cách làm đúng là để chúng trong một tệp riêng trên máy tin cậy, giới hạn quyền đọc, không đưa vào mã nguồn hay kho git, rồi để mã đọc vào dưới dạng biến. "In a publicly accessible file" khiến bất kỳ ai cũng lấy được khoá. "In a shared document" làm khoá lan tới nhiều người ngoài phạm vi cần thiết, khó thu hồi và không biết ai đã dùng. "In the cloud without encryption" để khoá ở dạng văn bản rõ trên hạ tầng bên ngoài, chỉ một lỗi cấu hình quyền là lộ; lưu trên đám mây chỉ ổn khi dùng kho bí mật có mã hoá và kiểm soát truy cập.