Chave privada (PEM) em bundle

Por que importa

Chaves privadas são raiz de confiança — assinaturas, TLS, SSH. Uma única ocorrência num asset público compromete toda a cadeia.

Como corrigir

Rotacione a chave, remova do repositório (incluindo histórico) e use um gerenciador de segredos no backend.

Verificar a correção

grep -r 'BEGIN RSA PRIVATE KEY' ./dist || echo ok

Referências

• OWASP — Secrets in source code