Версия источника: 4880e8b4372c96001c2e052be28b68a95d31252b
Синхронизировано: 2026-11-09T11:15:07.649Z
Источник: https://github.com/sergey-from-riders/vibecoding-base/tree/4880e8b4372c96001c2e052be28b68a95d31252b

<a id="security-redaction"></a>

# Маскирование секретов в логах

## Коротко

Записывайте идентификаторы операций и безопасные признаки вместо полного содержимого.

## Плохо

```text
log(request.headers, request.body)
```

## Хорошо

```text
log({request_id, route, status, duration_ms})
```

## Почему

Логи часто доступны большему числу систем, чем исходные данные.

## Когда применять

Персональные сведения допускаются только при обоснованной необходимости, ограничениях доступа и сроке хранения.

## Как проверить

- Нет ли Authorization, cookie, OAuth-кодов и платёжных данных в логах?

## Человек

Определяет чувствительные поля и требования к диагностике.

## Агент

Реализует серверные ограничения и проверяет запрещённый запрос наряду с разрешённым.

Контроль результата:

- Нет ли Authorization, cookie, OAuth-кодов и платёжных данных в логах?

## Источники

- [Logging - OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/cheatsheets/Logging_Cheat_Sheet.html)

Уровень: Обязательно. Проверено: 2026-11-09. Изменено: 2026-11-09.

[Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/4880e8b4372c96001c2e052be28b68a95d31252b/registry/standards/security/no-secrets/rules/redaction.md)