public class ApiClient {
    
    // Zafiyet: Yüksek entropili dizeye kaynak kodda yer verilmiş.
    
    private static final String API_KEY = "AKIAIOSFODNN7EXAMPLE";

    public static void main(String[] args) {
        
        System.out.println("Using API key: " + API_KEY);
        // Anahtarı kullanarak API'ye bağlantı kurma kodları...

    }
}

public class ApiClient {

    public static void main(String[] args) {

        String apiKey = System.getenv("MY_API_KEY");

        if (apiKey == null) {
            System.err.println("API key not set!");
            return;
        }

        System.out.println("Using API key from environment variable.");
        
        // API kodlarını devam ettir...

    }
}

export MY_API_KEY=AKIAIOSFODNN7EXAMPLE

# application.yml 
apiKey: AKIAIOSFODNN7EXAMPLE

• Kaynak koda herhangi bir gizli veri koyulmamalıdır.
  
  
• Kullanıcı parolaları bir veri tabanında veya bir dizin hizmetinde depolanmalıdır ve güçlü şifreleme ile (örn; bcrypt, scrypt, PBKDF2, or Argon2) koruma altına alınmalıdır. Kullanıcı parolaları açık bir şekilde kaynak koda konulan değerler ile kıyaslanmamalıdır.
  
  
• Sistem parolaları bir konfigürasyon dosyasına veya veri tabanına depolanmalıdır ve güçlü bir şifreleme ile (örn; AES-256) koruma altına alınmalıdır. Şifreleme anahtarları güvenli bir şekilde yönetilmelidir ve açık bir şekilde konulmamalıdır.
  
  
• Diğer gizli dizeler ortam değişkenlerine konulmalıdır ve kaynak kodlarda ortam değişkenlerinden çekilmek suretiyle kullanılmalıdır.
  
  
• Alternatif olarak diğer gizli dizeler konfigürasyon dosyasına konulmalıdır ama belirlenen bir şifreleme anahtarı ve algoritması ile şifreli halde bulundurulmalıdır.
  
  

• https://cwe.mitre.org/data/definitions/798.html
• https://github.com/trufflesecurity/trufflehog