kovakoodaukset

Kovakoodaukset ovat ohjelmistokehityksen tapa upottaa arvoja ja asetuksia suoraan lähdekoodiin kiinteinä, muuttumattomina arvoina. Tämä tarkoittaa, että esimerkiksi palvelin-osoitteet, API-avaimet tai tietokannan yhteysmerkkijonot on kirjoitettu koodiin sen sijaan, että ne pidettäisiin ulkoisessa konfiguraatiossa tai turvallisesti hallituissa arkistoissa.

Yleisimmät esimerkit ovat salasanat, API-avaimet, autentikointitiedot sekä kehitysympäristön testiarvot. Kovakoodaukset heikentävät ylläpidettävyyttä ja joustavuutta: arvoja on vaikea vaihtaa eri käyttöönottoja varten, ja salaistiedot voivat päätyä versionhallintaan tai jakeluun, jolloin turvallisuus vaarantuu. Lisäksi eri ympäristöjen vaatimukset eivät toteudu ilman koodimuutoksia.

Välttääksesi kovakoodauksen kannattaa siirtää arvot ulkoiseen lähteeseen: konfiguraatiotiedostoihin, ympäristömuuttujiin tai salaisuushallintajärjestelmiin. Käytä riippuvuuden injektiota ja käynnistysvaiheessa luettavia asetuksia, jotka voidaan vaihtaa ilman koodin muokkausta. Salaisuudet säilytetään turvallisesti erillisissä ratkaisuissa, kuten HashiCorp Vault, AWS Secrets Manager, Azure Key Vault tai Kubernetes Secrets. Lisäksi kannattaa hyödyntää turvallisuus- ja konfiguraatiomalleja sekä säännöllisiä skannauksia salasanojen ja avainten löytämiseksi.

Kovakoodaukset ovat yleisesti anti-pattern, ja niiden vähentäminen on keskeinen osa nykyaikaista ja turvallista ohjelmistokehitystä, erityisesti jatkuvassa toimituksessa ja hajautetuissa järjestelmissä.