Блог Виталия Лещенко

6 октября 2026, 16:58Виталий Лещенко

Секреты в git: sops и age с мастер-ключом в Yandex Cloud KMS или на парольной фразе

Секреты проекта — пароль базы, ключи подписи токенов, секреты OAuth-клиентов, SMTP — хочется держать рядом с кодом: в том же репозитории, с той же историей, в тех же ветках. Но в открытом виде им в git не место. В этой статье — схема, которой я пользуюсь для блога: файлы с секретами лежат в репозитории зашифрованными sops на ключе age, а сам ключ age хранится там же, зашифрованный мастер-ключом. Разберу два варианта мастер-ключа — в Yandex Cloud KMS и без облака, на парольной фразе, — а в конце пройдусь по альтернативам: Google Cloud, AWS, Azure, Vault, аппаратные ключи.

Инструменты

sops (Secrets OPerationS) шифрует не файл целиком, а значения в нём. Ключи YAML, JSON, .env остаются открытыми, и в git diff видно, какой секрет изменился, хотя и не видно, на что. Вот фрагмент зашифрованных значений чарта блога, как он лежит в git:

6 октября 2026, 12:08Виталий Лещенко

Свой MCP-сервер для блога: сервер авторизации, API и инструменты для модели

У блога появился MCP-сервер: ИИ-ассистент теперь может читать посты, писать черновики, отвечать на комментарии и модерировать — от имени вошедшего пользователя и в пределах его прав. В этой статье я расскажу, как он устроен: что нужно, чтобы ИИ-клиент мог работать с вашим приложением от имени пользователя, как проходит подключение на уровне протокола, и какие API стоит выносить в инструменты, а какие — нет.

Зачем блогу MCP

MCP (Model Context Protocol) — протокол, по которому ИИ-клиент (Claude Code, claude.ai, Cursor и другие) вызывает инструменты внешнего сервера. Сервер описывает инструменты схемой, модель выбирает подходящий и вызывает его с параметрами, результат возвращается в контекст модели. Транспорт для удалённых серверов — Streamable HTTP: обычные POST-запросы с JSON-RPC внутри.