Claves secretas en el código de tu app de Bolt
Todo lo que usa tu front-end lo puede leer cualquier visitante. Algunas claves están hechas para eso; otras dejan a quien las tenga gastar tu dinero o leer tus datos.
Causas habituales
Claves pegadas en el código
Una clave escrita directamente en un componente o en un archivo de configuración llega a todos los navegadores, y sigue en el historial del repositorio aunque la borres.
Secretos en variables VITE_
Vite mete cada variable cuyo nombre empieza por VITE_ en el código que descarga el navegador. Está bien para una clave pública y mal para una secreta.
Un archivo .env en el repositorio
Un archivo .env subido al repositorio pone todos sus secretos en manos de cualquiera que pueda ver el código.
Qué puedes revisar tú
- Distingue las claves públicas por diseño: la clave anon de Supabase o la clave publicable de Stripe lo son; la clave service role, la clave secreta de Stripe o una clave de OpenAI no.
- Busca las secretas en tu código. Bolt te deja descargar el proyecto o subirlo a GitHub.
- Cambia por una nueva cualquier clave secreta que haya estado en el código, y guárdala en un servidor: borrarla del código no basta.
Qué revisa el análisis gratuito
El análisis busca en tu código archivos .env subidos y claves de Stripe, OpenAI, Anthropic, AWS, GitHub y service role de Supabase, también en variables VITE_, y te dice lo que encuentra sin mostrar las claves.
Si prefieres que lo arreglemos nosotros
App Rescue saca los secretos del navegador y los lleva a funciones de servidor, te dice qué claves cambiar y cómo, y comprueba que no quede nada secreto en lo que descarga el navegador. Production Ready cubre el resto de la lista de comprobaciones de seguridad.
App Rescue, desde 299 € + IVA para una app pequeña. El análisis calcula el precio exacto de la tuya.