Ajuda · Sites feitos com IA
Chaves e senhas expostas no site feito com IA
Tudo o que vai para o navegador pode ser lido por qualquer pessoa, e é comum o código gerado por IA colocar ali chaves de API que deveriam ficar no servidor. Se uma chave secreta apareceu no site ou num repositório público, revogue e gere outra agora, confira o uso da conta e só depois corrija o código, levando a chamada para um servidor.
Revisado em
Como saber se a chave está exposta
Abra o site, clique com o botão direito e veja o código-fonte, ou abra as ferramentas do desenvolvedor e procure nos arquivos por “key”, “token”, “secret” e por prefixos conhecidos, como sk- das chaves de IA. Faça o mesmo no repositório, se ele é público, incluindo o histórico: apagar a chave do arquivo não apaga dos commits anteriores.
Variáveis com os prefixos VITE_ ou NEXT_PUBLIC_ vão para o navegador por definição. Se uma chave secreta está numa delas, ela está exposta.
O que fazer agora
Revogue a chave no painel do serviço (OpenAI, Google, Stripe, Supabase) e gere uma nova. Confira o uso e a cobrança dos últimos dias para ver se alguém usou. Defina limites de gasto onde o serviço permitir. Só então publique o código corrigido, com a chave nova guardada no servidor.
Como corrigir de vez
A chamada ao serviço passa a sair de um servidor seu: uma função na hospedagem (as chamadas funções serverless) ou um pequeno servidor. O navegador pede ao seu servidor, e só o servidor conhece a chave. Algumas chaves podem ser restritas ao seu domínio, como as de mapas, e isso reduz o risco, mas não substitui o servidor para chaves secretas.
O caso do Supabase
No Supabase, a chave pública (anon) foi feita para ficar no navegador; a segurança vem das políticas de acesso por linha, que dizem quem pode ler e gravar cada dado. Sem essas políticas ligadas, a chave pública abre o banco inteiro. Já a chave de serviço (service_role) nunca pode ir para o navegador.
Quando chamar alguém
Nem sempre precisa. Quando precisa, é isto.
Se você encontrou uma chave exposta ou não sabe onde procurar, a gente faz a varredura no site e no repositório, troca as chaves, move as chamadas para o servidor e liga as políticas de acesso do banco.
Serviço relacionado
Projetos feitos com IA→Revisão, publicação no seu domínio e manutenção.
Perguntas frequentes
Apagar a chave do código resolve?
Não. Se ela já foi publicada, alguém pode ter copiado, e o histórico do repositório guarda a versão antiga. Revogue e gere outra.
Repositório privado é seguro?
É mais seguro, mas a regra continua: chave secreta fica em variável de ambiente no servidor, não no código.
Como a IA deixou a chave no navegador?
Porque é o jeito mais curto de fazer funcionar na prévia. Peça explicitamente que a chamada passe por um servidor, e revise antes de publicar.
Chave de mapas também precisa ficar no servidor?
Chaves feitas para o navegador, como as de mapas, podem ficar nele, desde que restritas ao seu domínio no painel do serviço.
Continuar por aqui
Você fala com quem faz
Tem chave no lugar errado?
Você fala direto com o Gabriel, pelo WhatsApp. Mande o que aconteceu e o endereço do site, se houver.