Тестовую инфраструктуру часто считают служебной и безопасной по определению, и это опасное заблуждение. E2E-набор хранит учётные данные, ходит в реальные окружения, записывает traces с настоящими запросами и ответами. У всего этого есть модель угроз, как у продакшена: утёкший тестовый ключ, доступный извне test API, опубликованный trace с токеном - это реальные бреши. К тестовой инфраструктуре применяют ту же дисциплину, что к боевой.

Первое правило - учётные данные не в репозитории. Пароли и ключи тестовых аккаунтов хранят в секретах CI, а не в коде и не в конфиге; в тест они попадают через переменные окружения. Закоммиченный секрет остаётся в истории git навсегда, даже если его потом убрать, и виден каждому, у кого есть доступ к репозиторию. Это самая частая и самая дешёвая для атакующего утечка - и самая легко предотвратимая.

Второе - артефакты тестов чувствительны. Каталог с сохранённым storageState содержит живые cookies сессии; traces и videos - DOM, заголовки запросов, ответы API и введённые в поля данные. Всё это может нести токены и персональные данные. Относиться к ним надо как к чувствительным: ограниченный доступ, ограниченная ретенция, и никакой публичной ссылки на trace с внутренностями сессии.

Третье - тестовый API нуждается в собственной защите. Эндпоинты, через которые тесты создают данные в обход UI, - это мощный инструмент, и в проде он не должен существовать или должен быть закрыт отдельным ключом. Открытый в продакшене test API, позволяющий создавать пользователей и заказы, - это готовая дыра. Его защищают отдельным секретом и делают недоступным в боевом окружении, а не полагаются на то, что "о нём никто не знает".

Полезно один раз свести правила безопасности тестов в чек-лист, чтобы свериться при заведении окружения. Ниже - список из ключевых пунктов: секреты, чувствительные артефакты, защита test API, изоляция от боевых сервисов, безопасный production smoke, ограниченный доступ. К нему возвращаются, когда добавляют новое окружение, интеграцию или тип артефактов, - чтобы не открыть брешь по невнимательности.