Browser harus menerima JavaScript yang dijalankannya. Setiap kredensial yang tertanam dalam bundel itu dapat diperiksa oleh pengunjung, sehingga kunci server pribadi tidak menjadi aman hanya karena disimpan dalam file lingkungan.
Pisahkan konfigurasi publik dari rahasia
- Gunakan awalan lingkungan yang terpapar klien hanya untuk nilai yang dirancang untuk publik.
- Panggil layanan pribadi dari rute sisi server yang memeriksa otorisasi dan membatasi operasi.
- Periksa bundel yang dihasilkan dan log penerapan untuk mengetahui nilai rahasia yang tidak disengaja sebelum rilis.
Berisi kredensial terbuka
Jika rahasia mencapai bundel atau repositori klien, cabut atau putar rahasia tersebut di penyedia, periksa penggunaannya, dan hapus dari build aktif. Menghapus baris dari penerapan terbaru tidak menghapus kredensial dari riwayat sebelumnya atau aset yang diterapkan.
Kunci browser publik mungkin masih memerlukan batasan domain, kuota, atau izin dengan cakupan sempit. Pengendalian tersebut mengurangi penyalahgunaan; mereka tidak membuat nilai publik menjadi rahasia.