Chave de API exposta: o que fazer na primeira hora
Uma chave secreta da OpenAI, da Anthropic ou da Stripe no JavaScript do site é pública para qualquer visitante, e robôs procuram esse padrão o tempo todo. Veja como isso acontece, o que fazer agora e como garantir que não volte a acontecer.
Seu site expõe alguma chave agora?
Verificação passiva e gratuita, com nota de A a F em segundos. Chaves sempre mascaradas.
Como a chave vai parar no lugar errado
Variável pública no front-end
Prefixos como NEXT_PUBLIC_, VITE_ e REACT_APP_ colocam o valor dentro do JavaScript que qualquer visitante baixa. Chave secreta nunca pode ter esse prefixo.
SDK chamado direto do navegador
Alguns SDKs de IA têm uma opção para rodar no navegador (na OpenAI, dangerouslyAllowBrowser). Com ela ligada e uma chave real, a chave vai junto para o cliente.
Código gerado por IA ou protótipo que virou produção
O protótipo funcionou com a chave no código e foi para o ar assim. É comum em projetos feitos às pressas ou com geradores de app.
Repositório e histórico do Git
Um .env commitado uma vez continua no histórico mesmo depois de apagado. Repositório público é varrido por robôs em minutos.
Source maps e arquivos de build publicados
Mapas de código e arquivos de configuração esquecidos no servidor entregam variáveis e rotas internas.
A primeira hora, em ordem
01
Revogue e gere uma chave nova
Antes de qualquer outra coisa. Apagar a chave do código não adianta: ela já foi copiada por quem viu.
02
Confira o uso e a fatura
No painel do provedor, veja consumo, horários e projetos fora do padrão. Em provedores de IA, verifique também arquivos, assistentes e dados acessíveis por aquela chave.
03
Coloque teto de gasto e alertas
Limite mensal e alerta de consumo no provedor reduzem o prejuízo de um próximo vazamento.
04
Leve a chamada para o servidor
O navegador fala com a sua API, e só ela fala com o provedor, com autenticação do usuário e limite de uso.
05
Limpe o histórico e procure outras
Remova o segredo do histórico do Git e varra o repositório e o build atrás de outras chaves no mesmo padrão.
06
Avalie se houve acesso a dado pessoal
Se a chave dava acesso a dados de clientes, o caso pode exigir avaliação de incidente pela LGPD.
Chave exposta costuma ser sintoma de outras falhas na mesma aplicação. Um pentest em aplicações web ou um pentest de IA mostra o resto.
Perguntas frequentes
Dúvidas comuns sobre chave de API exposta.
Achou uma chave exposta? Vamos olhar o resto.
Diagnóstico gratuito de 20 minutos para entender o tamanho da exposição e o que testar primeiro.