Comment proposeriez-vous de le protéger ?
Les hachages sont à sens unique, ils ne peuvent pas être inversés pour retrouver les données d’origine.
Les mots de passe des utilisateurs sont hachés car ils n’ont pas besoin d’être réversibles. Un hachage de mot de passe dans la base de données n’est consulté que lorsque l’utilisateur tente de se connecter. Le hachage du mot de passe fourni est comparé au hachage du mot de passe stocké dans l’enregistrement de cet utilisateur.
Il est assez courant que des éléments tels que les mots de passe SMTP et les clés API soient stockés en texte brut. Ils doivent être transmis sous leur forme originale, donc les hacher empêcherait leur utilisation. Si le tiers acceptait un hachage du mot de passe, il n’y aurait aucun avantage à le hacher comme forme de protection.
Comme Jay l’a dit plus haut, si l’intégrité physique de votre serveur est compromise et que votre app.yml est accessible, vous avez des problèmes bien plus importants à résoudre que la nécessité de réinitialiser un mot de passe SMTP.
Une mise en garde importante ici : vous ne devriez pas utiliser ce mot de passe SMTP ailleurs, mais cela ne concerne pas spécifiquement Discourse. C’est une bonne pratique de sécurité pour tous les systèmes et tous les comptes.