Secret Sprawl

Définition

Le Secret Sprawl (prolifération des secrets) désigne la dispersion non contrôlée de credentials sensibles (clés API, mots de passe, tokens d'accès) à travers de multiples systèmes, fichiers, environnements et outils au sein d'une organisation, sans inventaire centralisé ni gouvernance cohérente. C'est l'un des problèmes de sécurité les plus courants dans les organisations ayant grandi rapidement sans stratégie de gestion des secrets. Le Secret Sprawl se manifeste sous de nombreuses formes. Des fichiers .env différents sur les machines des développeurs, avec des valeurs de secrets incohérentes ou mal à jour. Des secrets configurés directement dans les interfaces de configuration des plateformes CI/CD (GitHub Secrets, CircleCI Environment Variables, Jenkins Credentials) sans inventaire centralisé. Des secrets stockés dans des fichiers de configuration dans des dépôts Git différents, parfois dans des formats non identifiables comme secrets. Des mots de passe partagés dans des outils collaboratifs (Slack, Teams, emails) sans trace d'audit. Des secrets encodés en Base64 "pour sécurité" mais simplement décodables. Les risques du Secret Sprawl sont multiples. L'impossibilité de répondre rapidement à une compromission : si un secret est compromis, combien de systèmes l'utilisent ? Comment les identifier ? Comment les faire tourner simultanément ? L'inconsistance des secrets entre environnements (dev/staging/prod) conduisant à des comportements inattendus. Des secrets orphelins (associés à des services, intégrations ou employés qui n'existent plus) représentant des risques résiduels. La difficulté de l'audit de conformité sur la gestion des secrets. La consolidation du Secret Sprawl nécessite une approche en plusieurs phases. L'audit (inventaire complet des secrets existants et de leur localisation via des scans automatisés et des interviews d'équipe), la migration (centralisation dans un secrets manager comme Vault, AWS Secrets Manager, ou Doppler), la gouvernance (politiques de création/rotation/révocation, formation des équipes), et la prévention (pre-commit hooks, Secret Scanning CI, templates IaC avec référence au vault plutôt que valeurs en clair).