Chave privada (bloco PEM) no bundle
Procura nos arquivos públicos do deploy cabeçalhos de chave privada no formato PEM: RSA, EC, OpenSSH, DSA, criptografada ou genérica.
Por que importa
Uma chave privada autentica um servidor ou assina tokens. Com ela, alguém pode se passar pelo serviço que a usa ou emitir assinaturas válidas.
Como corrigir
Revogue a chave no sistema que a usa, gere uma nova e remova o arquivo do código. Guarde chaves privadas em variáveis de ambiente do servidor ou em um gerenciador de segredos.
Como conferir a correção
SECRET-005
grep -rE 'BEGIN (RSA |EC |OPENSSH |ENCRYPTED |DSA )?PRIVATE KEY' ./dist || echo ok