Environment Variable dan Secret

Kodemu butuh API key, URL database, dan token. Ini tidak boleh di-commit ke repo-mu. Begitu sebuah secret masuk ke riwayat git, ia efektif menjadi publik selamanya — menghapus barisnya di commit berikutnya tidak menghilangkannya dari riwayat, dan bot mengais repo publik baru untuk mencari key yang bocor dalam hitungan menit. Dua aturan yang membawamu jauh:

• Simpan secret di file .env secara lokal, dan pastikan .env ada di .gitignore-mu.
• Atur nilai yang sama sebagai environment variable di dashboard host-mu (atau lewat CLI — Command-Line Interface, jendela prompt teks tempat kamu mengetik perintah alih-alih mengeklik) untuk produksi.

# .env  (local only — never commit this)
DATABASE_URL=postgres://localhost:5432/app
STRIPE_SECRET_KEY=sk_test_xxx
SESSION_SECRET=change-me

# Set the production equivalents on the host
wrangler secret put STRIPE_SECRET_KEY
vercel env add STRIPE_SECRET_KEY production

Pertahankan sebuah .env.example yang ter-commit dan mendaftar nama (bukan nilai) dari setiap variabel, supaya kamu di masa depan dan AI sama-sama tahu apa yang diharapkan aplikasi. Perhatikan awalan sk_test_ di atas — jaga agar key test dan key live-mu jelas berbeda, dan jangan pernah biarkan key live nongkrong di .env lokal yang mungkin kamu tempelkan ke chat. Kalau kamu pernah menempelkan sebuah secret ke chat atau ter-commit secara tidak sengaja, anggap saja itu sudah bocor dan rotasi segera: buat key baru di dashboard penyedia, perbarui di mana-mana, dan cabut yang lama. Merotasi hanya memakan waktu lima menit; sebuah URL database yang bocor bisa merenggut segalanya di dalam database itu.