Objetivo da configuração do Django 'SECRET_KEY'

Qual é exatamente o ponto do SECRET_KEYdjango? Fiz algumas pesquisas no Google e verifiquei os documentos ( https://docs.djangoproject.com/en/dev/ref/settings/#secret-key ), mas estava procurando uma explicação mais detalhada sobre isso, e por que é necessário.

Por exemplo, o que poderia acontecer se a chave estivesse comprometida / outros soubessem o que era? Obrigado.

É usado para fazer hashes. Veja:

>grep -Inr SECRET_KEY *
conf/global_settings.py:255:SECRET_KEY = ''
conf/project_template/settings.py:61:SECRET_KEY = ''
contrib/auth/tokens.py:54:        hash = sha_constructor(settings.SECRET_KEY + unicode(user.id) +
contrib/comments/forms.py:86:        info = (content_type, object_pk, timestamp, settings.SECRET_KEY)
contrib/formtools/utils.py:15:    order, pickles the result with the SECRET_KEY setting, then takes an md5
contrib/formtools/utils.py:32:    data.append(settings.SECRET_KEY)
contrib/messages/storage/cookie.py:112:        SECRET_KEY, modified to make it unique for the present purpose.
contrib/messages/storage/cookie.py:114:        key = 'django.contrib.messages' + settings.SECRET_KEY
contrib/sessions/backends/base.py:89:        pickled_md5 = md5_constructor(pickled + settings.SECRET_KEY).hexdigest()
contrib/sessions/backends/base.py:95:        if md5_constructor(pickled + settings.SECRET_KEY).hexdigest() != tamper_check:
contrib/sessions/backends/base.py:134:        # Use settings.SECRET_KEY as added salt.
contrib/sessions/backends/base.py:143:                       settings.SECRET_KEY)).hexdigest()
contrib/sessions/models.py:16:        pickled_md5 = md5_constructor(pickled + settings.SECRET_KEY).hexdigest()
contrib/sessions/models.py:59:        if md5_constructor(pickled + settings.SECRET_KEY).hexdigest() != tamper_check:
core/management/commands/startproject.py:32:        # Create a random SECRET_KEY hash, and put it in the main settings.
core/management/commands/startproject.py:37:        settings_contents = re.sub(r"(?<=SECRET_KEY = ')'", secret_key + "'", settings_contents)
middleware/csrf.py:38:                % (randrange(0, _MAX_CSRF_KEY), settings.SECRET_KEY)).hexdigest()
middleware/csrf.py:41:    return md5_constructor(settings.SECRET_KEY + session_id).hexdigest()

A documentação do Django para assinatura criptográfica cobre os usos da configuração 'SECRET_KEY':

Esse valor [a SECRET_KEYconfiguração] é a chave para proteger os dados assinados - é vital mantê-lo seguro, ou os invasores podem usá-lo para gerar seus próprios valores assinados.

(Esta seção também é referenciada na documentação do Django para a configuração 'SECRET_KEY' .)

A API de assinatura criptográfica no Django está disponível para qualquer aplicativo para assinaturas criptograficamente seguras em valores. O próprio Django faz uso disso em vários recursos de nível superior:

• Assinatura de dados serializados (por exemplo, documentos JSON).

• Tokens exclusivos para uma sessão do usuário, solicitação de redefinição de senha, mensagens etc.

• Prevenção de ataques entre sites ou de reprodução adicionando (e depois esperando) valores exclusivos para a solicitação.

• Gerando um sal exclusivo para funções de hash.

Portanto, a resposta geral é: Existem muitas coisas em um aplicativo Django que requerem uma assinatura criptográfica, e a configuração 'SECRET_KEY' é a chave usada para isso. Ele precisa ter uma quantidade criptograficamente forte de entropia (difícil para os computadores adivinharem) e única entre todas as instâncias do Django.

De acordo com a documentação do Django sobreSECRET_KEY :

A chave secreta é usada para:

• Todas as sessões, se você estiver usando outro back-end de sessão django.contrib.sessions.backends.cacheou se estiver usando o padrão get_session_auth_hash().
• Todas as mensagens se você estiver usando CookieStorageou FallbackStorage.
• Todos os tokens PasswordResetView.
• Qualquer uso de assinatura criptográfica, a menos que uma chave diferente seja fornecida.

Se você girar sua chave secreta, todos os itens acima serão invalidados. Chaves secretas não são usadas para senhas de usuários e a rotação de chaves não as afetará.