Il traffico sandbox non deve colpire il portafoglio

Il traffico sandbox non deve mai aprire un prepaid hold. Se una chiave Live filtra in un harness di test, trattalo come incidente — non come scorciatoia per «vedere un DLR reale più in fretta» prima della settimana pilota.

IOSOR si aspetta che le corsie di test restino piatte sul portafoglio. Una credenziale Live filtrata trasforma la CI in motore di spesa: retry, job di carico e script demo addebitano come traffico pilota. Ferma la fuga prima di discutere perché lo staging «aveva bisogno» di reach di produzione per uno screenshot. Tieni corto l'orologio dell'incidente: ogni ora di Live in CI è prepaid che non torna dopo la rotazione. Indica il proprietario della chiave sul ticket prima del primo commento finance.

Rileva chiavi Live nei percorsi di test

Scansiona secret CI, host staging e .env locali per prefissi Live a cadenza fissa. Ogni hit apre un ticket incidente: revoca, ruota e conferma lo stesso giorno che non ci sia hold aperto da quella chiave.

Includi runner condivisi e container cron dimenticati — tengono vecchi secret più a lungo dei laptop. Pubblica il proprietario della scansione così il ticket non rimbalza tra developers e fraud ops per tutto il turno.

Congela gli hold nati da traffico Live filtrato

Se i job di test hanno già aperto hold sul portafoglio, mettili in pausa ed esporta le righe bloccate con timestamp. Non lasciare che l'harness continui a ritentare verso addebito Live mentre indaghi il percorso del secret.

Mappa ogni hold bloccato all'id del job che l'ha generato. Quella mappa serve a finance quando chiede se l'addebito era «pilota reale» o una chiave filtrata che brucia prepaid.

Separa picchi di abuso ed errori sandbox

Un picco di abuso si ferma senza falso successo. Una chiave Live nei test sul ledger sembra simile — entrambi richiedono stop duro. Etichetta l'incidente così fraud ops e developers non parlano paralleli: abuso vs fuga credenziale vs staging mal collegato.

Etichette sbagliate bruciano un giorno di chat mentre gli hold invecchiano sul portafoglio. Metti l'etichetta nel titolo del ticket prima del primo status update a finance.

Riprova l'isolamento dopo la rotazione

Dopo revoke e rotate, riesegui la prova OTP sandbox solo con la chiave sandbox. Esporta zero hold per quella finestra. Solo allora ripristina automazione staging e secret CI che puntano a credenziali sandbox.

Se la prova mostra ancora un hold — stop: resta un altro secret Live nel percorso. Non riaprire volume finché il ledger non è di nuovo piatto e la scansione pulita.

Percorsi operativi correlati

• passaggio da sandbox a produzione
• Incidente del portafoglio: un blocco non è un secondo addebito
• Picco di abusi: interruzione senza falso successo

Inizia con IOSOR

Cerca chiavi Live su ogni host di test. Revoca ogni fuga, esporta gli hold aperti e ribinda la CI solo al sandbox. Invia un OTP sandbox e prova che il ledger è restato piatto prima di riavviare l'automazione — e lascia la scansione nella checklist ops settimanale.

Sintesi IOSOR

Una chiave Live nell'harness di test è un incidente, non una funzione. Le corsie sandbox devono tenere il portafoglio piatto: rileva e ruota, congela gli hold, prova l'isolamento con un OTP sandbox a zero hold. Non ripristinare l'automazione CI né usare «solo per vedere il DLR» come scusa per lasciare Live nell'harness.