Add security incident response guide for Firebase key exposure

SECURITY-INCIDENT-RESPONSE.md

@@ -0,0 +1,115 @@
+# 🚨 SECURITY INCIDENT RESPONSE - Firebase Service Account Key Exposed
+
+## ❗ TRẠNG THÁI HIỆN TẠI
+- ✅ **File đã được xóa khỏi Git history** 
+- ✅ **Force push completed** - History đã clean
+- ✅ **File added to .gitignore** - Tránh upload lại
+- ❌ **Firebase Service Account Key vẫn ACTIVE** - CẦN ROTATE NGAY!
+
+## 🔄 BƯỚC TIẾP THEO QUAN TRỌNG
+
+### 1. **ROTATE Firebase Service Account Key (KHẨN CẤP)**
+
+#### Bước 1: Vào Firebase Console
+1. Truy cập: https://console.firebase.google.com/
+2. Chọn project của bạn
+3. Vào **Project Settings** ⚙️
+4. Tab **Service Accounts**
+
+#### Bước 2: Tạo Service Account Key mới
+1. Click **Generate new private key**
+2. Confirm tạo key mới
+3. **Download file JSON** - Lưu an toàn
+4. **QUAN TRỌNG**: Không upload lên Git!
+
+#### Bước 3: Xóa Service Account Key cũ
+1. Trong Firebase Console
+2. Vào **IAM & Admin** → **Service Accounts**
+3. Tìm service account cũ
+4. **Delete** hoặc **Disable** key cũ
+
+### 2. **Cấu hình Hugging Face Spaces Secret**
+
+#### Bước 1: Vào Space Settings
+1. Truy cập: https://huggingface.co/spaces/Detomo/houzou-notification-server
+2. Click **Settings** tab
+3. Chọn **Secrets and variables**
+
+#### Bước 2: Thêm/Cập nhật Secret
+1. **Nếu chưa có**: Click **Add secret**
+2. **Nếu đã có**: Click **Edit** secret hiện tại
+3. **Name**: `FIREBASE_SERVICE_ACCOUNT`
+4. **Value**: Copy toàn bộ content của file JSON mới
+5. **Save**
+
+#### Bước 3: Restart Space
+1. Vào **Settings** → **Restart Space**
+2. Hoặc push một commit mới để trigger rebuild
+
+### 3. **Kiểm tra hoạt động**
+
+```bash
+# Test server
+curl https://detomo-houzou-notification-server.hf.space/
+
+# Test Firebase connectivity
+curl https://detomo-houzou-notification-server.hf.space/test-firebase
+
+# Expected response:
+{
+  "success": true,
+  "message": "Firebase connectivity OK",
+  "projectId": "your-project-id"
+}
+```
+
+## 📋 CHECKLIST BẢO MẬT
+
+### ✅ Đã hoàn thành:
+- [x] Xóa file khỏi Git history
+- [x] Force push remote repository
+- [x] Thêm vào .gitignore
+- [x] Xóa file local
+
+### ❌ Cần làm NGAY:
+- [ ] **Rotate Firebase Service Account Key**
+- [ ] **Cập nhật secret trong Hugging Face Space**
+- [ ] **Test Firebase connectivity**
+- [ ] **Verify notifications vẫn hoạt động**
+
+## 🔐 PHÒNG CHỐNG TƯƠNG LAI
+
+### 1. **Không bao giờ commit sensitive files**
+```bash
+# Kiểm tra trước khi commit
+git status
+git diff --cached
+
+# Nếu có file không mong muốn:
+git reset HEAD firebase-service-account.json
+```
+
+### 2. **Sử dụng environment variables**
+```bash
+# Development
+export FIREBASE_SERVICE_ACCOUNT="$(cat firebase-service-account.json)"
+
+# Production
+# Set trong Hugging Face Spaces Secrets
+```
+
+### 3. **Regular security audit**
+- Kiểm tra Git history định kỳ
+- Review permissions của service accounts
+- Monitor Firebase console cho unusual activity
+
+## 🆘 LIÊN HỆ HỖ TRỢ
+
+Nếu gặp vấn đề:
+1. **Firebase Support**: https://firebase.google.com/support
+2. **Hugging Face Support**: https://huggingface.co/support
+3. **Security team**: Báo cáo incident nếu cần
+
+---
+
+**⚠️ QUAN TRỌNG**: Thực hiện rotate key NGAY LẬP TỨC để đảm bảo bảo mật!