Secrets en ligne de commande : éviter les fuites via /proc, l’historique et l’environnement

Source : billet de blog de Linus Heckemann (9 janvier 2026). L’auteur illustre d’abord le risque de « Process information leakage » lorsqu’un secret (ex. un token Bearer pour l’API GitLab) est passé en argument de commande, car les lignes de commande sont lisibles via /proc sur la plupart des distributions Linux (outils comme ps/pgrep). Des options comme hidepid pour /proc ou l’isolation par défaut de macOS limitent la visibilité inter-utilisateurs, mais la meilleure approche reste d’éviter de placer des secrets sur la ligne de commande.