# Skrev in en avgränsningsregel i repot efter att en omstrukturering hade fört in ett annat företags värdförteckning, brandväggsundantag och text i det — och höll de karantänsatta resterna kvar under skanningen efter hemligheter i stället för att undanta dem. september 2026 **Situation.** Arbete som hade gjorts åt ett annat företag följde med genom en omstrukturering av repot och blev kvar. Det som följde med var inte abstrakt: en kladdlogg med aktiva inloggningsuppgifter i klartext, som låg kvar i trädet förbi varje skydd under större delen av repots historik; en inaktuell inventory som namngav det företagets värd; och en task‑fil för brandväggen som öppnade portar mot sexton av dess kundnätverk. Inget av det kördes. Det är precis därför det överlevde — ingenting som inte körs någonstans granskas någonsin igen. **Uppgift.** Gränsen måste bli en regel med ett test kopplat till sig, snarare än en avsikt, och resterna måste hanteras på ett sätt som inte bara gömde undan dem. **Handling.** Regeln är nu det inledande avsnittet i repots instruktioner: det här repot hanterar ett enda företags infrastruktur och bara den, och en annan parts värd, inventory, brandväggsöppning, DNS‑zon eller inloggningsuppgift hör inte hemma i det — inte ens avaktiverad, bortkommenterad eller parkerad i en fil som ingen playbook importerar. Det praktiska testet står bredvid: skulle det här företaget fortfarande vara ansvarigt för detta om relationen tog slut. Resterna sattes i karantän i en tydligt namngiven katalog i stället för att raderas, så att historiken förblir läsbar, och karantänen är medvetet partiell — de två strukturella lintverktygen hoppar över den, medan hemlighetsskannern, vault‑skyddet och emojikontrollen medvetet fortfarande läser den, eftersom det är de tre som skulle fånga det som tog sig in. Läckan i sig gav upphov till en lintregel: ett eget mönster som flaggar en inloggningsuppgift som skickas som en kommandoradsflagga, vilket var den form den läckta hade och som den vanliga regeluppsättningen inte matchade. **Resultat.** Omfattningsgränsen är en nedskriven regel med ett angivet test, resterna är synliga i stället för begravda, och den specifika form av inloggningsuppgift som tog sig igenom får nu en commit att misslyckas. Lärdomen som har dokumenterats vid sidan av är den allmänna: den farliga artefakten är inte den som körs, utan den som inte gör det, eftersom det är den som ingen läser igen. --- - Roll: Säkerhetsingenjör - Kategorier: [Datastyrning](https://data.engineer.company/sv/categories/data-governance/), [Infrastruktur](https://data.engineer.company/sv/categories/infrastructure/), [Automatisering och CI/CD](https://data.engineer.company/sv/categories/automation/), [Säkerhet](https://data.engineer.company/sv/categories/security/), [Dokumentation](https://data.engineer.company/sv/categories/documentation/) - Tjänster: [Datastyrning och datakvalitet](https://data.engineer.company/sv/services/data-governance/), [Säkerhet och behörighetshantering](https://data.engineer.company/sv/services/security-access/), [Teknisk dokumentation](https://data.engineer.company/sv/services/technical-documentation/)