Em 21 de outubro a Railway avisou que alguém de fora pode ter acessado as variáveis de ambiente dos clientes. Variáveis de ambiente são as configurações secretas do seu app, como senhas de banco e chaves de serviços como a OpenAI. Este checklist segue as orientações oficiais da própria Railway, na ordem certa.
Trocar todas as senhas e chaves guardadas na Railway, que é a recomendação principal da empresa.
Trocar a chave da OpenAI sem deixar seu app fora do ar e conferir se alguém gastou no seu nome.
Trocar a senha do banco PostgreSQL pelo botão certo, sem quebrar a ligação entre o app e o banco.
Conferir se alguém usou suas chaves ou entrou no seu banco enquanto elas estavam expostas.
02O que você precisa
Acesso à sua conta da Railway
Acesso às contas dos serviços cujas chaves estão na Railway (OpenAI, AWS, Google Cloud…)
Uns 30 minutos com calma
03Passo a passo
Faça a lista. Em cada serviço do seu projeto na Railway, abra a aba Variables e anote tudo que é segredo: chaves, senhas, logins de registro privado. A Railway pede pra trocar TODAS, não só as que parecem importantes.
Troque a chave da OpenAI. Abra a página de chaves, escolha o projeto no seletor do canto superior esquerdo, clique na lixeira ao lado da chave antiga e confirme. Depois clique em Create new secret key e copie a chave nova na hora: o painel não mostra ela de novo.
https://platform.openai.com/api-keys
Cole a chave nova na Railway. Abra o serviço que usa a chave, clique em Variables, troque o valor e publique a mudança (deploy). Confira se a nova versão ficou ativa e se os registros (logs) mostram o app funcionando.
Troque a senha do banco PostgreSQL. Abra o serviço do PostgreSQL, vá na aba Database, depois Config. Na seção Connection, clique em Regenerate ao lado da senha. O banco reinicia e todas as conexões abertas caem, inclusive a de um invasor. Não troque a senha à mão nas variáveis.
Publique de novo (redeploy) todo serviço que usa esse banco. O contêiner, que é a caixinha onde seu app roda, só lê as variáveis quando inicia. O Regenerate só reinicia o banco. Se você usa a ferramenta de linha de comando da Railway, dá pra fazer assim (troque backend pelo nome do seu serviço):
railway redeploy --service backend
Confira se alguém usou suas chaves. Na OpenAI, abra Usage, escolha o projeto, agrupe por chave e compare com o seu uso normal. Veja também a cobrança (Billing) e a lista de membros. Acompanhe o incidente QH8L8B3E na página de status da Railway.
https://platform.openai.com/usage
04Pedidos prontos pra colar no ChatGPT ou no Claude
Montar sua lista de trocaAntes de começar: cole os NOMES das variáveis, nunca os valores
Tenho um projeto na Railway com estes serviços: [NOMES DOS SERVIÇOS].
As variáveis de cada um são: [SÓ OS NOMES DAS VARIÁVEIS, SEM OS VALORES].
Me ajude a montar um checklist em português: quais parecem senhas ou chaves que preciso trocar, em qual site eu troco cada uma e em que ordem fazer pra não deixar o app fora do ar.
Não invente caminhos de menu: se não tiver certeza, diga pra eu conferir na documentação oficial do serviço.
Entender um erro depois da trocaSe o app parou depois que você trocou a senha do banco
Troquei a senha do banco PostgreSQL na Railway pelo botão Regenerate e meu serviço [NOME DO SERVIÇO] começou a dar erro.
Este é o trecho do registro (log): [COLE O ERRO, APAGANDO QUALQUER SENHA].
Me explique em português simples o que o erro quer dizer e o que conferir. Lembre que o serviço só lê as variáveis novas depois de publicado de novo.
Ler o uso da OpenAIPra saber se alguém gastou com a sua chave
Abri a página Usage da OpenAI e estes são os números por dia dos últimos [NÚMERO] dias: [COLE OS NÚMEROS].
Meu uso normal é mais ou menos [SEU USO NORMAL].
Me aponte os dias e os horários que fogem do normal e me diga o que anotar antes de falar com o suporte da OpenAI.
Mensagem pro suporteSe encontrar uso ou cobrança estranha
Escreva em inglês, curta e educada, uma mensagem pro suporte da [OPENAI OU RAILWAY].
Contexto: minha chave estava guardada na Railway, que avisou de um incidente de segurança em 21 de outubro. Já apaguei a chave e criei outra.
Vi este uso que não fui eu: [DATAS E VALORES].
Peça a análise do caso e pergunte o que mais eu devo fazer.
05Antes de usar
Nunca cole senha ou chave de verdade no ChatGPT, no Claude ou em print. Mande só os nomes das variáveis.
Enquanto o incidente estiver aberto, a Railway pausou os deploys: dá pra trocar as variáveis, mas a versão nova só sobe quando os builds voltarem. Acompanhe em status.railway.com.
Apagar a chave na OpenAI vale na hora. Tenha a chave nova pronta pra colar na Railway logo em seguida, senão o app fica sem acesso.
Senha de banco colada à mão em outro lugar (no seu computador, em outra ferramenta) não se atualiza sozinha. Troque em cada lugar.
Achou algo estranho? Guarde os números de uso antes de mexer em mais coisa. Dúvidas com a Railway: support@railway.com.
Resumindo: troque todas as chaves e senhas, copie a chave nova da OpenAI na hora, use o Regenerate no banco, publique de novo todo serviço e confira se alguém gastou no seu nome.
