# Сканирование секретов

Важно правильно управлять [вашими секретами (переменными окружения)](./spaces-overview#managing-secrets). Наиболее распространённый способ, при котором секреты становятся доступными извне, — это их прямое захардкоживание в файлах кода. Это позволяет злоумышленнику использовать ваши секреты и доступные через них сервисы.

Например, вот как может выглядеть скомпрометированный файл `app.py`:

```py
import numpy as np
import scipy as sp

api_key = "sw-xyz1234567891213"

def call_inference(prompt: str) -> str:
    result = call_api(prompt, api_key)
    return result
```

Чтобы предотвратить эту проблему, мы запускаем [TruffleHog](https://trufflesecurity.com/trufflehog) при каждом вашем push. TruffleHog сканирует репозиторий на наличие захардкоженных секретов, и мы отправим вам электронное письмо при их обнаружении.

Вы будете получать письма только по подтверждённым секретам, то есть тем, которые проверены и подтверждены как рабочие для аутентификации с соответствующими провайдерами. Однако имейте в виду, что неподтверждённые секреты не обязательно безвредны или недействительны: проверка может завершиться ошибкой по техническим причинам, например, при сетевом сбое.

TruffleHog может проверять секреты, работающие в нескольких сервисах, и не ограничен токенами Hugging Face.

Вы можете отключить эти уведомления по электронной почте в [настройках](https://huggingface.co/settings/notifications).

Если утекший секрет представляет собой токен доступа Hugging Face, вы можете немедленно отозвать его — в том числе токен, который вам не принадлежит, — см. [Отозвать утекший токен](./security-tokens#revoking-a-leaked-token).