SSL证书涉及的文件应保密吗（添加到.gitignore）？

Question

在设置为我的网站的SSL证书的过程中，几个不同的文件被创建，

• server.csr
• server.key
• server.pass.key
• site_name.crt

在将我的网站推送到github之前，这些应该添加到.gitignore吗？

如果这是一个愚蠢的问题，提前道歉。

Answer 1

在将我的网站推向github之前，这些应该添加到.gitignore吗？

他们不应该在回购中，意味着存储在回购之外。
这样：

• 你不需要管理.gitignore，
• 你可以存储这些密钥安全的地方。

GitHub在看到users storing keys and passwords in public repositories后，实际上不得不在2013年更改它的搜索功能。请参阅the full story。

The article包括这句话：

的错误，可能反映了软件开发人员的全员教育问题。

当你有加速程序 - “6周，你将成为一名真正的软件开发人员” - 教导开发人员时，安全性成为事后考虑。 并考虑“90％的发展正在复制的东西，你不明白，我敢打赌他们大多根本不知道id_rsa是什么”

在2016年，这个“书”（作为一个笑话）反映：

---

的OP补充说：

我认为Heroku需要将文件放入回购站才能运行“>heroku certs:add server.crt server.key”并设置证书。

“Configuration and Config Vars”是有关该主题的一个例证：

一个更好的解决方案是使用环境变量，保持键调出代码的。在传统主机上或在本地工作，您可以在您的bashrc文件中设置环境变量。在Heroku上，你使用config vars。

文章“Heroku: SSL Endpoint”不会强制您在代码中拥有这些密钥和证书。他们可以直接在Heroku上生成，并保存在其他地方保存。只是不在git回购。