Des clés secrètes dans le code de votre app Lovable
Tout ce qu’utilise votre front-end, chaque visiteur peut le lire. Certaines clés sont faites pour ça ; d’autres permettent à qui les détient de dépenser votre argent ou de lire vos données.
Les causes les plus fréquentes
Des clés collées dans le code
Une clé écrite directement dans un composant ou un fichier de configuration part dans chaque navigateur, et reste dans l’historique du dépôt même après sa suppression.
Des secrets dans des variables VITE_
Vite place chaque variable dont le nom commence par VITE_ dans le code que télécharge le navigateur. C’est correct pour une clé publique, pas pour une clé secrète.
Un fichier .env dans le dépôt
Un fichier .env envoyé dans le dépôt met tous ses secrets entre les mains de quiconque peut voir le code.
Ce que vous pouvez vérifier vous-même
- Distinguez les clés publiques par nature : la clé anon de Supabase ou la clé publiable de Stripe le sont ; la clé service role, la clé secrète de Stripe ou une clé OpenAI ne le sont pas.
- Cherchez les clés secrètes dans votre code. Lovable synchronise votre projet avec un dépôt GitHub dès que vous en connectez un.
- Remplacez par une nouvelle toute clé secrète qui a été dans le code, et gardez-la sur un serveur : la supprimer du code ne suffit pas.
Ce que vérifie le bilan de santé gratuit
L’analyse cherche dans votre code des fichiers .env envoyés et des clés Stripe, OpenAI, Anthropic, AWS, GitHub et service role de Supabase, y compris dans des variables VITE_, et signale ce qu’elle trouve sans afficher les clés.
Si vous préférez que nous le réparions
App Rescue sort les secrets du navigateur et les place dans des fonctions serveur, vous indique quelles clés remplacer et comment, et vérifie que rien de secret ne reste dans ce que télécharge le navigateur. Production Ready couvre le reste de la liste de contrôle de sécurité.
App Rescue, à partir de 299 € HT pour une petite app. L’analyse calcule le prix exact de la vôtre.