Sommaire
Trigger.dev a révélé dimanche 1er novembre un incident de sécurité : un attaquant a accédé aux variables d’environnement d’une partie de ses organisations clientes. La plateforme, qui héberge des workflows et des agents IA dans le cloud, affirme avoir bloqué la faille exploitée et avoir prévenu par e-mail tous les propriétaires de comptes concernés, avec les mesures à prendre.
Le communiqué reste volontairement bref : Trigger.dev ne précise ni le nombre d’organisations touchées, ni la cause, ni si les valeurs exposées ont été consultées ou utilisées. Pour les utilisateurs, la consigne est claire : si vous utilisez Trigger.dev en hébergé, vérifiez l’e-mail du propriétaire du compte et considérez comme compromis tout secret stocké dans ces variables — clés API, identifiants de bases de données, accès aux services connectés comme Stripe, Slack ou Supabase — puis faites-les tourner et redéployez.
Lento dit : Encore une plateforme qui stocke les clés du royaume et qui se fait piquer les variables. Si vos secrets passent par Trigger.dev, ne cherchez pas à savoir si vous êtes dans la liste : changez-les, point.
