CodePen 2.0 Yazarken Tüm Kodunuzu Sunucularına Gönderiyor
CodePen 2.0, web geliştirme topluluğunda ciddi bir gizlilik endişesi yaratmaya başladı. Hacker News üzerinde paylaşılan bulgulara göre, platform yazdığınız kodun tamamını, kaydedilmeden hatta tamamlanmadan neredeyse anında sunucularına gönderiyor.
Bir araştırmacı bu durumu test ederek sorunu somut verilerle ortaya koydu:
- Editöre yazılan her karakter 1-2 saniye içinde codepen.dev sunucularına aktarılıyor
- Tarayıcı geliştirici araçlarının Network sekmesinde bu veri transferleri net şekilde görülüyor
- Kaydedilmemiş kodlar dahi oluşturulan preview’de render ediliyor
- Benzersiz bir işaretçi ile test yapıldığında, işaretçi kaydedilmeden önce bile preview HTML’inde yer aldığı tespit edildi
Bu davranış, hızlı otomatik kaydetme amacıyla tasarlanmış olabilir. Ancak sorun şu: eğer yanlışlıkla API anahtarları, veritabanı şifreleri veya diğer hassas bilgiler editöre yapıştırdıysanız, bunlar silinmeden çok önce CodePen’in sunucularında kaydedilmiş olacak.
Güvenlik bilincine sahip geliştiriciler, CodePen 2.0 kullanırken düşünce editörü olarak bir API anahtarı veya gizli bilgisi yazmaması gerektiğini artık biliyorlar. Platform bu davranışı belgelendirmeli ve kullanıcılarına açık şekilde bildirmelidir.