Prehľadajte verejnú stránku na 25 druhov uniknutých tajných kľúčov
Aplikácie vytvorené vibe codingom často posielajú kľúče do prehliadača. Zadajte adresu jednej stránky, ktorú prevádzkujete, a skener prečíta HTML tejto stránky a odkazované súbory skriptov a vyhľadá API kľúče, tokeny a URL databáz, ktoré by si návštevník mohol skopírovať. Hodnoty sa zobrazujú zamaskované.
Výsledok
Čo toto prehľadanie nevidí
Skener číta len súbory, ktoré prehliadač návštevníka zo stránky sťahuje. Nevidí tajné údaje, ktoré zostávajú na serveri, stránky za prihlásením, súbory načítavané neskôr cez import() ani source mapy. Čistý výsledok nie je dôkaz, že je aplikácia bezpečná.
Všetkých 25 druhov kľúčov
Tajných kľúčov, ktoré sa nikdy nesmú dostať do prehliadača: 20. Verejných zámerne: 5.
Kľúče označené ako verejné, napríklad anon kľúč Supabase, apiKey Firebase alebo publishable kľúč Stripe, sú určené do prehliadača. Sú bezpečné len vtedy, keď dáta za nimi chránia pravidlá vašej databázy.
| Druh kľúča | ID | Závažnosť | Povaha |
|---|---|---|---|
| API kľúč OpenAI | openai-key | Kritická | Tajný |
| API kľúč Anthropic | anthropic-key | Kritická | Tajný |
| Ostrý tajný kľúč Stripe | stripe-secret | Kritická | Tajný |
| Testovací tajný kľúč Stripe | stripe-test-secret | Stredná | Tajný |
| Publishable kľúč Stripe | stripe-publishable | Info | Verejný zámerne |
| ID prístupového kľúča AWS | aws-access-key | Vysoká | Tajný |
| Tajný prístupový kľúč AWS | aws-secret | Kritická | Tajný |
| Token GitHub | github-token | Kritická | Tajný |
| API kľúč Google | google-api-key | Info | Verejný zámerne |
| apiKey z webovej konfigurácie Firebase | firebase-web-config | Info | Verejný zámerne |
| Kľúč service_role od Supabase | supabase-service-role-jwt | Kritická | Tajný |
| Kľúč anon od Supabase | supabase-anon-jwt | Info | Verejný zámerne |
| JSON Web Token | jwt-other | Nízka | Tajný |
| Tajný kľúč Supabase | supabase-secret-key | Kritická | Tajný |
| Publishable kľúč Supabase | supabase-publishable-key | Info | Verejný zámerne |
| Token Slack | slack-token | Kritická | Tajný |
| URL webhooku Slack | slack-webhook | Vysoká | Tajný |
| API kľúč SendGrid | sendgrid-key | Kritická | Tajný |
| SID API kľúča Twilio | twilio-key | Vysoká | Tajný |
| API kľúč Mailgun | mailgun-key | Vysoká | Tajný |
| Blok privátneho kľúča | private-key-block | Kritická | Tajný |
| URL databázy s heslom | database-url | Kritická | Tajný |
| Token npm | npm-token | Kritická | Tajný |
| Token Hugging Face | huggingface-token | Vysoká | Tajný |
| API kľúč Resend | resend-key | Vysoká | Tajný |
Otázky
Čo skener tajných kľúčov číta?
Číta HTML stránky a až 14 súborov skriptov, na ktoré odkazuje, spolu 3 MB: prvých 512 KB stránky a prvých 1 MB z každého súboru. Hľadá známe formáty kľúčov, napríklad API kľúče, prístupové tokeny, bloky privátnych kľúčov a URL databáz s heslom.
Kde prehľadanie beží a ako dlho trvá?
Prehľadanie beží vo vašom prehliadači; náš server preň len sťahuje súbory, jedna požiadavka na súbor. Nič sa neukladá. Na pomalom webe môže prehľadanie trvať až približne minútu a pol.
Čo skener nevidí?
Tajné údaje, ktoré existujú len na serveri, stránky za prihlásením, časti kódu, ktoré stránka načítava neskôr cez import(), a source mapy. Tiež nepozná, či je nájdený kľúč stále aktívny. Čistý výsledok nie je dôkaz, že je aplikácia bezpečná.
Prečo sú niektoré kľúče označené ako verejné zámerne?
Kľúč anon alebo publishable od Supabase, apiKey Firebase, API kľúč Google a publishable kľúč Stripe sú vytvorené na odoslanie do prehliadača. Identifikujú váš projekt a dávajú len to, čo dovolia pravidlá vašej databázy, obmedzenia API a kontroly na serveri. Hlásia sa preto, aby ste si overili, že tieto pravidlá existujú, nie preto, že by samotný kľúč bol únik.
Čo robiť, keď unikne skutočný tajný kľúč?
Najprv ho vymeňte: vytvorte nový kľúč u poskytovateľa a starý zrušte. Potom nový kľúč presuňte do kódu na serveri alebo do premenných prostredia a nasaďte znova. Zmazanie kľúča z kódu nestačí, pretože stará hodnota zostáva v skorších buildoch, vo vyrovnávacej pamäti a v histórii gitu.
Prečo aplikácie vytvorené vibe codingom tak často prezrádzajú kľúče?
Kód písaný rýchlo s nástrojmi AI často volá platené alebo privilegované API priamo z prehliadača a kľúč skončí v skripte, ktorý sťahuje každý návštevník. Bezpečnosť vibe codingu začína tým, že takéto volania zostanú na serveri.