Доказательство

URL

https://staging.acme.ai:8000/docs → 200 OK

CT-лог

сертификат Let's Encrypt от 14.10

Сервер

uvicorn · FastAPI 0.115

Значения секретов не раскрываются и не хранятся — только тип, место, 4 последних символа и отпечаток SHA-256.

Почему опасно

• Swagger раскрывает все эндпоинты, включая /admin/*.
• Staging часто ходит в прод-БД или хранит её копию.

Сколько стоит

карта API и возможный доступ к копии прод-данных — считается отдельной строкой, не в «₽/ч под риском».

Как починить

app = FastAPI(docs_url=None if ENV != "dev" else "/docs", redoc_url=None)
# + basic auth или доступ только из VPN на staging.acme.ai

Соответствие