# Безопасность: пароли, ключи, токены

Курс: Claude Code и терминал: с 0 — https://zero2claude.ru/learn/code-terminal
Канонический URL: https://zero2claude.ru/learn/code-terminal/15-4-bezopasnost-paroli

Пароли, ключи и токены — это ключи от твоего дома. Их нельзя показывать, выкладывать в код или пересылать в чате. Используй разные надёжные пароли и менеджер паролей.

На уровнях 11 и 14 ты уже встречал ключи и переменные окружения — те самые секретные значения, которые проект прячет от чужих глаз. Теперь поговорим о них всерьёз. Пароли, ключи и токены — это **ключи от твоего цифрового дома**. И обращаться с ними нужно так же бережно, как с настоящими ключами от квартиры.

## Ключи, пароли, токены — кто есть кто

Эти слова часто стоят рядом, давай разложим их:

- **Пароль** — то, что ты вводишь, чтобы войти куда-то: в почту, в банк, в сервис.
- **Ключ** (API-ключ) — секретное значение, которое позволяет твоему проекту обращаться к чужому сервису. Например, чтобы отправлять письма или брать данные.
- **Токен** — цифровой пропуск. Сервис выдаёт его и по нему узнаёт, что запрос пришёл именно от тебя, не спрашивая пароль каждый раз.

У всех троих общее одно: это **секреты**. Тот, у кого они есть, может действовать от твоего имени.

## Чего нельзя делать никогда

Раз это ключи от дома, есть вещи, которые делать просто нельзя:

- **Не показывай их.** Никому — ни в видео, ни на скриншоте, ни «по-быстрому коллеге».
- **Не выкладывай в код.** Код часто попадает на GitHub, где его видят другие. Ключ внутри кода — это ключ от дома под ковриком на виду у всех.
- **Не пересылай в чате.** Сообщения остаются в истории, их могут переслать дальше или прочитать чужие глаза.

Если ключ или токен где-то засветился — считай, что он скомпрометирован. Не надейся, что «никто не заметит»: ботам хватает секунд, чтобы найти ключ в открытом коде. Такой ключ нужно сразу отозвать и выпустить новый.

Вот почему секреты держат в **переменных окружения**, а не прямо в коде — мы об этом говорили на уровне 14. Так ключ остаётся снаружи проекта и не уезжает на GitHub вместе с кодом.

## Надёжные пароли и менеджер

С паролями есть два простых правила: они должны быть **надёжными** и **разными** для разных сервисов. Если использовать один пароль везде, то стоит ему утечь с одного сайта — и под угрозой сразу все.

Но как запомнить десятки длинных разных паролей? Никак — и не надо. Для этого есть **менеджер паролей**.

Менеджер паролей сам придумывает сложные пароли, хранит их в зашифрованном виде и подставляет, когда нужно. Тебе достаточно помнить один мастер-пароль — от самого менеджера. Удобно и куда безопаснее, чем держать всё в голове или в заметках.

Относись к паролям, ключам и токенам как к ключам от собственного дома — и твой цифровой дом будет в безопасности.