Token do GitHub no bundle
Procura nos arquivos públicos do deploy tokens do GitHub com os prefixos ghp_, github_pat_, gho_ ou ghs_.
Por que importa
Conforme as permissões do token, ele lê e altera repositórios privados e publica pacotes em nome da sua conta ou organização.
Como corrigir
Revogue o token em github.com/settings/tokens. Se for um token de instalação (ghs_), revise o GitHub App que o gerou. Use tokens do GitHub só no servidor.
Como conferir a correção
SECRET-004
grep -rE '(ghp_|github_pat_|gho_|ghs_)[A-Za-z0-9_]{20,}' ./dist || echo ok