# VULNÉRABLE : secret codé en dur dans le code, versionné dans git pour toujours (même après suppression)
DATABASE_URL = "postgresql://admin:S3cr3tP@ssw0rd@db.technologik.local:5432/prod"  # NE JAMAIS FAIRE ÇA
STRIPE_API_KEY = "sk_live_51H8x..."

# CORRECT : chargement depuis des variables d'environnement, injectées par l'environnement d'exécution
import os
from pydantic_settings import BaseSettings

class Settings(BaseSettings):
    database_url: str
    stripe_api_key: str
    jwt_secret: str

    class Config:
        env_file = ".env"   # .env DOIT être dans .gitignore, jamais commité

settings = Settings()  # lève une erreur explicite si une variable requise est absente

# .gitignore - s'assurer qu'aucun secret ne peut être commité par accident
cat <<'EOF' >> .gitignore
.env
.env.*
!.env.example
*.pem
*.key
secrets/
EOF

# .env.example versionné : documente les variables attendues SANS valeurs réelles
cat <<'EOF' > .env.example
DATABASE_URL=postgresql://user:password@localhost:5432/dbname
STRIPE_API_KEY=sk_test_xxx
JWT_SECRET=change_me
EOF

# Détecter des secrets déjà commités par erreur avec gitleaks (scan de l'historique complet)
gitleaks detect --source . --verbose --report-path gitleaks-report.json

# Si un secret a fuité dans l'historique git : il faut le RÉVOQUER immédiatement (pas juste le supprimer du repo)
# La réécriture d'historique (git filter-repo / BFG) ne suffit pas seule si le repo a déjà été cloné/publié

# HashiCorp Vault : coffre-fort de secrets centralisé, avec bail (lease) et rotation automatique
1. L'application s'authentifie auprès de Vault (AppRole, Kubernetes auth, etc.) - PAS de secret statique
2. Vault génère un secret dynamique à durée de vie limitée (ex: identifiants DB temporaires)
3. Le secret expire automatiquement (lease) -> réduit drastiquement la fenêtre d'exploitation en cas de fuite
4. Toute lecture de secret est journalisée (audit log) -> traçabilité complète

# Exemple d'utilisation de Vault en CLI (environnement de lab)
vault kv put secret/technologik/database url="postgresql://..." password="..."
vault kv get secret/technologik/database

# Secrets dynamiques pour PostgreSQL : Vault crée un utilisateur DB temporaire à la demande
vault write database/roles/technologik-app   db_name=postgresql   creation_statements="CREATE ROLE "{{name}}" WITH LOGIN PASSWORD '{{password}}' VALID UNTIL '{{expiration}}';   GRANT SELECT, INSERT, UPDATE ON ALL TABLES IN SCHEMA public TO "{{name}}";"   default_ttl="1h" max_ttl="24h"

vault read database/creds/technologik-app   # génère des identifiants valides 1h seulement

# Récupération d'un secret Vault au démarrage de l'application (au lieu d'une variable d'env statique)
import hvac

client = hvac.Client(url="https://vault.technologik.local:8200")
client.auth.approle.login(role_id=os.environ["VAULT_ROLE_ID"], secret_id=os.environ["VAULT_SECRET_ID"])

secret = client.secrets.kv.v2.read_secret_version(path="technologik/database")
database_password = secret["data"]["data"]["password"]  # jamais loggé, jamais persisté sur disque en clair

# Rotation des secrets : politique recommandée
Clés API tierces (Stripe, SendGrid...) : rotation tous les 90 jours ou immédiatement en cas de suspicion
Mots de passe DB / secrets dynamiques   : via Vault, TTL courts (1h à 24h), rotation automatique
Clés de chiffrement long terme          : rotation annuelle avec ré-chiffrement progressif (voir leçon crypto symétrique)
Clés SSH                                : rotation à chaque changement d'équipe, désactivation immédiate au départ