Sandbox-legitimasjon som ikke brenner Live debit

Sandbox-legitimasjon finnes slik at engineering kan sende testtrafikk uten å røre det forhåndsbetalte ledger. Live debit må være umulig fra en sandbox-nøkkel — ikke en myk advarsel i en README som ingen leser under en hendelse.

IOSOR behandler sandbox som en separat kredittholdning: test-OTP og varslingsstier kan lykkes i sandbox-banen mens wallet forblir flat. Hvis et hold eller en debit dukker opp fra en nøkkel merket sandbox, er legitimasjonen feil scoped og må tilbakekalles før neste CI-kjøring.

Skill sandbox-nøkler fra Live hold

Opprett en sandbox-nøkkel i Developers som ikke kan åpne et prepaid hold. Bevis at en test-OTP i sandbox-banen returnerer success med null wallet-debit og null MRC samme minutt. Eksporter ledger for vinduet, og legg beviset ved siden av nøkkel-id.

Hvis en hold-rad dukker opp, tilbakekall nøkkelen straks og behandle det som en legitimasjonsfeil — ikke en flaky test. Utsted en korrekt scoped sandbox-nøkkel, og gjenta beviset til ledger forblir flat.

Bind CI og staging bare til sandbox-scopes

Pek CI- og staging-miljøvariabler bare på sandbox-legitimasjon. Lim aldri inn en Live-nøkkel i en GitHub-secret, Docker compose-fil, laptop-.env for demoer eller en delt password manager-mappe merket «test».

Roter enhver Live-nøkkel som har vært i et testharness. Registrer rotasjonstidspunktet slik at finance kan matche en villfarende debit til lekkasjevinduet. Staging-hoster som fortsatt holder en Live-hemmelighet etter rotasjon, feiler neste deploy-gate.

Bevis debit-isolasjon før første pilot

Eksporter ledger for sandbox-send-vinduet før du inviterer en pilot-host. Bekreft ingen hold, ingen debit og ingen Live-sti avfyrt fra sandbox-nøkkelen. Dokumenter beviset ved nøkkel-id slik at finance kan revidere at testtrafikk ikke brukte penger.

Gjenta eksporten etter første CI-uke slik at drift ikke stille gjeninnfører en Live-nøkkel via en glemt workflow-variabel.

Cutover-vaner blir under Developers

Når du promoverer et build, følg Live-cutover-sjekklisten under Developers — utsted en ny Live-nøkkel, tilbakekall sandbox fra produksjonshoster, og smoke vault-friskhet før runway blir grønn. Gjenbruk ikke sandbox-hemmeligheten som midlertidig Live-nøkkel «bare for piloten».

Cutover er et skifte av legitimasjon pluss et ledger-sjekk — ikke et config-flagg-flip. Hold webhook-mål og nøkkel-id-er på linje med miljøet du hevder på runway-boardet.

Relaterte ops-stier

Hold cutover og coverage-ærlighet tett slik at team ikke finner opp en tredje nøkkelhistorie:

• Sandbox vs produksjonsnøkler cutover
• Coverage sandbox versus produksjons-reach-sjekker
• Wallet-pilotuke: hold- og debit-sannhet

Start med IOSOR

I Developers: utsted en sandbox-nøkkel, send én OTP til et samtykkende test-E.164, og eksporter ledger for det minuttet. Bekreft null hold og null debit. Lås CI til det nøkkel-id. Først deretter be om en Live-nøkkel til pilot-hosten, og tilbakekall sandbox fra enhver host som skal bære Live-trafikk.

IOSOR-lærdom

Sandbox-legitimasjon som ikke kan åpne Live debit er en hard scope-regel — ikke en mappeetikett. Finance stoler på ledger-eksporten ved nøkkel-id — ikke på en grønn CI-avkryssing alene. Hvis en sandbox-merket nøkkel noen gang åpner et hold, tilbakekall før neste pipeline-kjøring.