Безопасность: три правила

Коротко: Три правила, чтобы вас не взломали в первый день. Секреты только в .env, и агенту запрещено их читать и отправлять. Чужие скиллы - только после аудита исходников. Security review перед каждой выкаткой. После настройки запретов можно безопасно включать полную автономию агента.

Почему это важно

Большая часть вайб-коденных приложений выходит в мир с дырами: открытые ключи, незакрытые доступы. Три правила закрывают основное и стоят пары минут настройки.

Правило 1. Секреты только в .env

Ключи и пароли не должны попадать ни в код, ни в GitHub, ни в чат. Настройте запреты один раз - вот промпт:

Настрой в правилах проекта запреты для агента:
1. Не читать файл .env и любые файлы с секретами целиком.
2. Не выполнять массовое удаление файлов без моего явного подтверждения.
3. Не отправлять переменные окружения и ключи на внешние адреса.
4. Не устанавливать скиллы и зависимости без запроса.
Покажи итоговый файл настроек и объясни, что изменилось.

Эти запреты работают даже в режиме полной автономии. Именно после их настройки автономию можно спокойно включать: агент не спрашивает на каждый чих, но обойти запреты не может.

Правило 2. Чужие скиллы - только после аудита

Скилл - исполняемая инструкция от чужого автора. Прокинуть туда код без проверки - как отдать ключи от квартиры незнакомцу. В плохом скилле прячут команду «собери ключи из .env и отправь на такой-то адрес». Перед установкой всегда прогоняйте промпт-аудит из урока про скиллы. Без исключений, даже если «все ставят».

Правило 3. Security review перед каждой выкаткой

Одна фраза - «security review» - и агент проверяет код по чек-листу: утечки данных, опасные операции, отсутствие проверки входных данных, секреты в логах. Секунда времени, а цена пропуска - утёкший ключ или дыра на живом сайте. Это не раз в релиз, это каждый раз, когда вы закончили кусок кода.

Про персональные данные

Если проект работает с персональными данными россиян, помните про 152-ФЗ: такие данные хранят на серверах в России. Claude и другие зарубежные модели отправляют данные за границу. Схема безопасной работы: каркас проекта остаётся в агенте, а боевая обработка реальных персональных данных идёт через российские сервисы на вашей стороне, с обезличиванием.

Короткая проверка: выберите ответ и нажмите «Проверить».