[보안] .env는 ‘코드 파일’이 아니라 ‘금고 열쇠’처럼 생각합니다

처음엔 .env도 프로젝트 파일 중 하나니까 GitHub에 같이 올려도 되는 줄 알았습니다. 그런데 여기에 DB 비밀번호, 메일 비밀번호, API 키 같은 값이 들어가는 경우가 많더군요.

저는 새 프로젝트를 만들면 .gitignore부터 확인합니다. .env가 제외돼 있는지 보고, 실제 비밀번호 대신 항목 이름만 들어간 .env.example을 남깁니다.

만약 비밀키를 실수로 공개 저장소에 올렸다면 파일만 지우고 끝내면 안 됩니다. 이미 노출됐다고 보고 키나 비밀번호를 새로 바꾸는 편이 안전합니다.