Un navegador debe recibir el JavaScript que ejecuta. El visitante puede inspeccionar cualquier credencial incorporada en ese paquete, por lo que una clave de servidor privado no se vuelve segura solo porque se almacenó en un archivo de entorno.
Separar la configuración pública de los secretos
- Utilice prefijos de entorno expuestos al cliente solo para valores diseñados para ser públicos.
- Llame a servicios privados desde una ruta del lado del servidor que verifica la autorización y limita la operación.
- Inspeccione los paquetes generados y los registros de implementación en busca de valores secretos accidentales antes del lanzamiento.
Contiene una credencial expuesta
Si un secreto llega a un paquete o repositorio de cliente, revocarlo o rotarlo en el proveedor, inspeccionar su uso y eliminarlo de la compilación activa. Eliminar una línea de la última confirmación no borra la credencial del historial anterior ni de los activos implementados.
Es posible que una clave de navegador pública aún necesite restricciones de dominio, cuotas o permisos de alcance limitado. Esos controles reducen el abuso; no hacen que un valor público sea confidencial.