Secrets & Variables d'env

// ❌ Hardcoded dans le code source
const stripe = require('stripe')('sk_live_abc123...'); // Dans git pour toujours !

// ❌ Dans les logs
console.log('Connecting with password: ' + process.env.DB_PASSWORD);

// ❌ Dans les query params (historique navigateur, logs nginx)
fetch(`/api/data?api_key=${apiKey}`);

// ❌ Dans un fichier .env commité
// git add .env → "oh j'ai oublié de le mettre dans .gitignore"

// ❌ Dans les variables d'erreur retournées au client
app.use((err, req, res, next) => {
  res.json({ error: err.message, stack: err.stack }); // Ne jamais exposer en prod !
});

# .env (JAMAIS commité)
NODE_ENV=development
PORT=3000
DATABASE_URL=postgresql://user:password@localhost/mydb
JWT_SECRET=super-long-random-secret-at-least-32-chars
STRIPE_SECRET_KEY=sk_test_...
REDIS_URL=redis://localhost:6379

# .env.example (commité — documentation sans valeurs)
NODE_ENV=
PORT=
DATABASE_URL=postgresql://user:password@host/dbname
JWT_SECRET=   # Générer avec: node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"
STRIPE_SECRET_KEY=   # Depuis https://dashboard.stripe.com/apikeys
REDIS_URL=

// Chargement dans l'application
require('dotenv').config(); // À mettre en PREMIER, avant tous les imports

// Valider que les secrets sont présents au démarrage
const REQUIRED_ENV = ['DATABASE_URL', 'JWT_SECRET', 'STRIPE_SECRET_KEY'];
for (const key of REQUIRED_ENV) {
  if (!process.env[key]) {
    console.error(`Variable d'env manquante: ${key}`);
    process.exit(1);
  }
}

# .gitignore
.env
.env.local
.env.*.local
*.pem
*.key
secrets/

// Pas de dotenv en production — les env vars sont injectées directement
if (process.env.NODE_ENV !== 'production') {
  require('dotenv').config();
}