[Security/Critical] OpenAI API-Key liegt im Repository (backend/.env) #32

New issue

Closed

opened 2026-09-09 20:16:55 +00:00 by Aceless · 1 comment

Aceless commented

2026-09-09 20:16:55 +00:00

Owner

Problem

backend/.env ist in Git eingecheckt und enthaelt einen gueltigen OPENAI_API_KEY.

git ls-files backend | grep env
-> backend/.env

Auswirkung

Jeder mit Lesezugriff auf das Repository (inkl. aller Klone und der gesamten Git-History) kann den Key benutzen. Kosten und Missbrauch gehen auf das Konto des Besitzers.

Massnahmen

Key sofort im OpenAI-Dashboard widerrufen und neu erzeugen.
backend/.env aus dem Index entfernen (git rm --cached backend/.env) und in .gitignore aufnehmen.
Key aus der History entfernen (git filter-repo oder BFG), danach force-push und alle Klone neu ziehen.
backend/.env.example mit leeren Platzhaltern einchecken.

Hinweis: Der Key wird aktuell im Backend-Code gar nicht verwendet. Falls er nicht gebraucht wird, ersatzlos entfernen.

## Problem `backend/.env` ist in Git eingecheckt und enthaelt einen gueltigen `OPENAI_API_KEY`. ``` git ls-files backend | grep env -> backend/.env ``` ## Auswirkung Jeder mit Lesezugriff auf das Repository (inkl. aller Klone und der gesamten Git-History) kann den Key benutzen. Kosten und Missbrauch gehen auf das Konto des Besitzers. ## Massnahmen 1. Key **sofort** im OpenAI-Dashboard widerrufen und neu erzeugen. 2. `backend/.env` aus dem Index entfernen (`git rm --cached backend/.env`) und in `.gitignore` aufnehmen. 3. Key aus der History entfernen (`git filter-repo` oder BFG), danach force-push und alle Klone neu ziehen. 4. `backend/.env.example` mit leeren Platzhaltern einchecken. Hinweis: Der Key wird aktuell im Backend-Code gar nicht verwendet. Falls er nicht gebraucht wird, ersatzlos entfernen.

Aceless added the

security

critical

labels

2026-09-09 20:16:55 +00:00

Aceless referenced this issue from a commit

2026-09-09 21:18:12 +00:00

Anwendungsstart: Routing, Autorisierung, Rate Limiting, Secrets

Aceless commented

2026-09-09 21:18:46 +00:00

Author

Owner

Teilweise erledigt.

Im Repository geändert

backend/.env ist nicht mehr getrackt (git rm --cached) und steht jetzt in .gitignore.
Die Datei bleibt lokal liegen, es geht nichts verloren.
Der Key wird im Backend nirgends gelesen, es gibt keinen Code, der davon abhängt.

Offen, weil nur du das kannst

Key im OpenAI-Dashboard widerrufen. Er steht weiterhin in der Git-History und muss als kompromittiert gelten.
History bereinigen (git filter-repo --path backend/.env --invert-paths), danach force-push und alle Klone neu ziehen.

Bleibt offen, bis der Key widerrufen ist.

Branch backend/issue-fixes, Commits 2a1cc95.

Teilweise erledigt. **Im Repository geändert** - `backend/.env` ist nicht mehr getrackt (`git rm --cached`) und steht jetzt in `.gitignore`. - Die Datei bleibt lokal liegen, es geht nichts verloren. - Der Key wird im Backend nirgends gelesen, es gibt keinen Code, der davon abhängt. **Offen, weil nur du das kannst** 1. Key im OpenAI-Dashboard widerrufen. Er steht weiterhin in der Git-History und muss als kompromittiert gelten. 2. History bereinigen (`git filter-repo --path backend/.env --invert-paths`), danach force-push und alle Klone neu ziehen. Bleibt offen, bis der Key widerrufen ist. --- Branch `backend/issue-fixes`, Commits 2a1cc95.

Aceless referenced this issue

2026-09-09 21:28:24 +00:00

Frontend: Abstuerze, stiller Datenverlust und unerreichbare Features beheben #59

Aceless closed this issue

2026-09-13 18:03:05 +00:00