Sandbox-Traffic darf die Wallet nicht treffen

Sandbox-Traffic darf niemals einen prepaid hold öffnen. Wenn ein Live-Schlüssel in eine Test-Harness leckt, behandeln Sie es als Incident — nicht als Shortcut, um „schneller echte DLR zu sehen“, bevor die Pilotwoche startet.

IOSOR erwartet, dass Testspuren auf der Wallet flach bleiben. Ein geleakter Live-Credential macht CI zur Spend-Engine: Retries, Load-Jobs und Demo-Skripte debitieren wie Pilottraffic. Stoppen Sie das Leck, bevor Sie diskutieren, warum Staging „Produktions-Reach“ für einen Screenshot brauchte. Halten Sie die Incident-Uhr kurz: jede Stunde Live in CI ist prepaid, das nach Rotate nicht zurückkommt.

Live-Schlüssel auf Testpfaden erkennen

Scannen Sie CI-Secrets, Staging-Hosts und lokale .env-Dateien nach Live-Präfixen im festen Rhythmus. Jeder Treffer öffnet ein Incident-Ticket: revoke, rotate und am selben Tag bestätigen, dass kein offener Hold von diesem Key stammt.

Schließen Sie shared Runner und vergessene Cron-Container ein — sie halten alte Secrets länger als Laptops.

Holds aus geleaktem Live-Traffic einfrieren

Wenn Testjobs bereits Holds auf der Wallet geöffnet haben, pausieren Sie sie und exportieren Sie die hängenden Zeilen mit Zeitstempeln. Lassen Sie die Harness nicht weiter in Live-Debit retrien, während Sie den Secret-Pfad untersuchen.

Mappen Sie jeden hängenden Hold auf die Job-ID, die ihn erzeugt hat. Diese Karte braucht Finance, wenn gefragt wird, ob der Debit „echter Pilot“ war oder ein geleakter Key Prepaid verbrennt.

Abuse-Spikes von Sandbox-Fehlern trennen

Ein Abuse-Spike stoppt ohne Fake-Success. Ein Live-Key in Tests sieht auf dem Ledger ähnlich aus — beides braucht einen harten Stopp. Labeln Sie den Incident, damit Fraud Ops und Developers nicht aneinander vorbeireden: Abuse vs Credential-Leak vs falsch gebundenes Staging.

Falsche Labels verbrennen einen Chat-Tag, während Holds auf der Wallet altern. Setzen Sie das Label in den Ticket-Titel vor dem ersten Status-Update an Finance.

Isolation nach Rotation erneut beweisen

Nach Revoke und Rotate führen Sie den Sandbox-OTP-Beweis nur mit dem Sandbox-Key erneut aus. Exportieren Sie null Holds für dieses Fenster. Erst dann stellen Sie Staging-Automation und CI-Secrets wieder her, die auf Sandbox-Credentials zeigen.

Zeigt der Beweis noch einen Hold — Stopp: ein weiterer Live-Secret steckt im Pfad. Öffnen Sie kein Volumen, bis das Ledger wieder flach und der Scan sauber ist.

Verwandte Ops-Pfade

• Cutover von Sandbox auf Produktion
• Geldbörsen-Vorfallwoche: Eine festhängende Sperre ist keine zweite Belastung
• Missbrauchsspitze: Stoppen ohne gefälschten Erfolg

Starten Sie mit IOSOR

Durchsuchen Sie jeden Test-Host nach Live-Keys. Widerrufen Sie jedes Leck, exportieren Sie offene Holds und binden Sie CI nur an Sandbox zurück. Senden Sie ein Sandbox-OTP und beweisen Sie ein flaches Ledger, bevor Automation wieder startet — und lassen Sie den Scan in der wöchentlichen Ops-Checkliste.

IOSOR Fazit

Ein Live-Key in der Test-Harness ist ein Incident, kein Feature. Sandbox-Spuren müssen die Wallet flach halten: erkennen und rotieren, Holds einfrieren, Isolation mit einem Zero-Hold-Sandbox-OTP beweisen. Stellen Sie CI-Automation nicht wieder her und nutzen Sie nicht „nur kurz DLR ansehen“ als Ausrede, Live in der Harness zu lassen.