In diesem Ratgeber
Ein Geheimnis ist alles, was belegt, dass deine App oder dein Server etwas darf: ein API-Schlüssel, ein Passwort, ein Token, eine Datenbank-Verbindung. Wer per Prompt baut, fügt schnell einen Schlüssel in den Chat ein, „damit es läuft“, und das Werkzeug schreibt ihn direkt in eine Quelldatei. Das ist kein Charakterfehler, sondern der schnellste Weg zu einer laufenden Demo. Vor dem Release muss es nur aufgeräumt werden.
Das ist allgemeine Orientierung, kein Sicherheitsaudit.
Warum es wichtig ist
Ein App-Paket lässt sich in der Regel entpacken und lesen. Alles, was darin steckt, auch ein im Code stehender Schlüssel, solltest du als für jeden lesbar betrachten, der die App herunterlädt. Ein Schlüssel in einem öffentlichen Code-Repository ist für jeden lesbar, der es findet.
Was dann passiert, hängt vom Schlüssel ab: Jemand könnte Kosten auf deinem Konto verursachen, Daten lesen oder Anfragen in deinem Namen senden.
Wo du suchst
Durchsuche das ganze Projekt (auch versteckte Dateien) nach:
- Begriffen wie
key,secret,token,password,apikey,Bearer. - Langen, zufällig aussehenden Zeichenketten.
- Dateien wie
.env, Konfigurationsdateien und „Beispiel“-Dateien mit echten Werten. - Server-Adressen, in denen ein Passwort oder Token steckt.
- Deinem Chat- oder Prompt-Verlauf: Wenn du dort einen Schlüssel eingefügt hast, hat er deinen Rechner verlassen.
- Dem Verlauf der Versionsverwaltung: Ein heute gelöschter Schlüssel kann in einem älteren Commit stehen.
Reihenfolge der Korrektur
- Ersetzen, nicht nur verstecken. Stand ein Schlüssel jemals in geteiltem Code, einem öffentlichen Repository oder einem Prompt: neuen Schlüssel im Dashboard des Anbieters erzeugen, den alten sperren.
- Das Geheimnis aus der App holen. Das übliche Muster: Die App ruft deinen eigenen kleinen Server auf, nur der Server kennt den Schlüssel. Lass dir das Muster von deinem Coding-Werkzeug für dein Setup erklären und prüfe das Ergebnis selbst mit der Suche oben.
- Begrenze, was ein Schlüssel darf. Viele Anbieter erlauben, einen Schlüssel auf eine App oder ein Ausgabenlimit zu beschränken. Nutze das.
- Geheime Dateien per Ignore-Regel aus der Versionsverwaltung halten und den Verlauf prüfen.
- Neu bauen und noch einmal suchen, diesmal im fertigen App-Paket.
Manche Schlüssel sind für die Öffentlichkeit gedacht (etwa Kennungen für Karten- oder Analysedienste). Die Dokumentation des Anbieters sagt dir, welche Art du hast.
Wenn ein Schlüssel schon draußen ist
- Erst neuen Schlüssel erzeugen und den alten sperren.
- Auf der Nutzungsseite des Anbieters nach Ungewöhnlichem schauen.
- Ein App-Update mit der neuen Lösung veröffentlichen.
- Waren womöglich Nutzerdaten betroffen: prüfe, welche rechtlichen Pflichten für dich gelten; das ist keine Rechtsberatung.
Was du nicht versprechen solltest
Sag Nutzern nicht, die App sei „sicher“ oder „geprüft“, solange kein Qualifizierter sie geprüft hat. Beschreibe, was du tatsächlich tust, etwa „wir speichern keine Passwörter“, nur wenn es stimmt.
Nächster Schritt
Frische Augen helfen. Bei AppReviewX bekommst du privates, strukturiertes Feedback von anderen Entwicklern, und du kannst Tester bitten, Dinge auszuprobieren, die ein normaler Nutzer nicht tut. AppReviewX ausprobieren.
Verwandt: Vibe-Coding-Hub, Fehler, die Tester in KI-Apps finden, Geschlossener Test für eine KI-App.