01 Ce qui s’est passé
Les clés de service SAP BTP sont des identifiants destinés aux clients externes, sans restriction IP. Elles n'expirent pas (sauf X.509) et nécessitent une rotation régulière.
02 Les points essentiels
- Les clés de service n'expirent pas (sauf X.509) et ne sont pas liées à une IP ; toute personne disposant du clientid/clientsecret peut demander des tokens depuis n'importe où.
- Modèle sans interruption : ajouter une nouvelle clé, basculer les consommateurs, attendre un délai de grâce, puis supprimer l'ancienne clé.
- Stockez les identifiants dans un gestionnaire de secrets dédié (Vault, Key Vault, etc.) ; jamais dans Git, images ou chat.
- Chaque consommateur doit avoir sa propre clé ; automatisez la rotation avec un script planifié et testez d'abord hors production.
03 Pourquoi c’est important
Une seule clé de service divulguée peut compromettre toute une instance BTP. Les fuites sont silencieuses ; la rotation limite la fenêtre d'attaque.
04 Pour qui c’est utile
Administrateurs SAP HANA et SOCs (Centres d’opérations de sécurité).
Source originale