# Quét thông tin bí mật

Việc quản lý [các bí mật (biến môi trường) của bạn một cách phù hợp](./spaces-overview#managing-secrets) là rất quan trọng. Cách phổ biến nhất mà mọi người vô tình để lộ bí mật của mình ra bên ngoài là việc hard-code trực tiếp các bí mật đó trong các tệp mã nguồn, điều này cho phép người dùng ác ý khai thác các bí mật của bạn cũng như các dịch vụ mà những bí mật đó có quyền truy cập.

Ví dụ, đây là cách một tệp `app.py` bị xâm phạm có thể trông như thế nào:

```py
import numpy as np
import scipy as sp

api_key = "sw-xyz1234567891213"

def call_inference(prompt: str) -> str:
    result = call_api(prompt, api_key)
    return result
```

Để ngăn chặn vấn đề này, chúng tôi chạy [TruffleHog](https://trufflesecurity.com/trufflehog) trên mỗi lần push bạn thực hiện. TruffleHog quét các bí mật được hard-code, và chúng tôi sẽ gửi email cho bạn khi phát hiện.

Bạn chỉ nhận được email cho các bí mật đã được xác minh, tức là những bí mật đã được xác nhận hoạt động cho xác thực với các nhà cung cấp tương ứng. Tuy nhiên, hãy lưu ý rằng các bí mật chưa xác minh không nhất thiết là vô hại hoặc không hợp lệ: quá trình xác minh có thể thất bại do các lý do kỹ thuật, chẳng hạn như lỗi mạng.

TruffleHog có thể xác minh các bí mật hoạt động trên nhiều dịch vụ, không bị giới hạn ở token của Hugging Face.

Bạn có thể từ chối nhận các thông báo email đó từ [cài đặt của bạn](https://huggingface.co/settings/notifications).

Nếu bí mật bị rò rỉ là token truy cập Hugging Face, bạn có thể thu hồi hiệu lực của nó ngay lập tức — bao gồm cả token không thuộc về bạn — xem [Thu hồi token bị rò rỉ](./security-tokens#revoking-a-leaked-token).