Sandbox přihlašovací údaje, které nespálí Live debit

Sandbox přihlašovací údaje existují, aby engineering mohl posílat testovací provoz bez dotyku předplaceného ledgeru. Live debit musí být z sandbox klíče nemožný — ne měkké varování v README, které nikdo nečte během incidentu.

IOSOR drží sandbox jako samostatnou credit posture: testovací OTP a alert cesty mohou uspět v sandbox pruhu, zatímco peněženka zůstává plochá. Pokud se hold nebo debit objeví z klíče označeného sandbox, je credentials špatně scoped a musí se odvolat před dalším CI během.

Oddělte sandbox klíče od Live holdů

V Developers vytvořte sandbox klíč, který neumí otevřít prepaid hold. Dokažte, že testovací OTP v sandbox pruhu vrátí success při nulovém wallet debitu a nulovém MRC ve stejné minutě. Exportujte ledger za okno a uložte důkaz vedle id klíče.

Pokud se objeví řádek hold, okamžitě klíč odvolejte a berte to jako vadu credentials — ne flaky test. Vydajte správně scoped sandbox klíč a opakujte důkaz, dokud ledger nezůstane plochý.

Vážte CI a staging jen na sandbox scope

Proměnné CI a staging ukazují jen na sandbox credentials. Nikdy nevkládejte Live klíč do GitHub secret, Docker compose souboru, laptop .env pro dema ani sdílené složky password manageru s štítkem «test».

Rotujte každý Live klíč, který se objevil v test harness. Zaznamenejte čas rotace, aby finance mohly přiřadit bludný debit k oknu úniku. Staging hostitelé, kteří po rotaci stále drží Live secret, shodí další deploy gate.

Dokažte izolaci debitu před prvním pilotem

Exportujte ledger za okno sandbox odeslání před pozváním pilot hostitele. Potvrďte: žádný hold, žádný debit, žádná Live cesta ze sandbox klíče. Dokumentujte důkaz u id klíče, aby finance mohly auditovat, že testovací provoz neutratil.

Opakujte export po prvním týdnu CI, aby drift tiše nezavedl Live klíč skrz zapomenutou workflow proměnnou. Pokud druhý export ukáže hold, zmrazte pipeline a rotujte před pilot kickoffem.

Návyky cutover zůstávají v Developers

Při promocí buildu postupujte podle checklistu Live cutover v Developers — nový Live klíč, odvolání sandbox z produkčních hostitelů a smoke čerstvosti vault před zeleným runway. Nepoužívejte sandbox secret jako dočasný Live klíč «jen pro pilota».

Cutover je změna credentials plus kontrola ledgeru — ne překlopení config flagu. Udržujte webhook cíle a id klíčů v souladu s prostředím, které tvrdíte na runway boardu.

Související ops cesty

Držte cutover a upřímnost coverage vedle sebe, aby týmy nevymyslely třetí příběh klíčů:

• Cutover sandbox vs produkční klíče
• Kontroly reach: coverage sandbox versus produkce
• Pilotní týden wallet: pravda o hold a debit

Začněte s IOSOR

V Developers vydajte sandbox klíč, odešlete jedno OTP na odsouhlasené testovací E.164 a exportujte ledger za tu minutu. Potvrďte nula hold a nula debit. Uzamkněte CI na toto id klíče. Teprve potom žádejte Live klíč pro pilot hostitele a odvolejte sandbox z každého hostitele, který ponese Live provoz.

Shrnutí IOSOR

Sandbox credentials, které neumí otevřít Live debit, jsou tvrdé scope pravidlo — ne štítek složky. Finance důvěřují exportu ledgeru vedle id klíče — ne samotnému zelenému CI políčku. Pokud sandbox označený klíč někdy otevře hold, odvolejte před dalším během pipeline. Cutover znamená nový Live klíč plus odvolání sandbox na produkčních hostitelích s písemným důkazem, že testovací provoz neutratil nic.