En esta guía
Un secreto es cualquier cosa que demuestra que tu app o tu servidor pueden hacer algo: una clave API, una contraseña, un token, una cadena de conexión a la base de datos. Cuando construyes con prompts, es fácil pegar una clave en el chat para "hacer que funcione", y la herramienta puede escribirla directamente en un archivo de código. No es un defecto; es la forma más rápida de tener una demo en marcha. Solo hay que limpiarlo antes de publicar.
Esta es una orientación general, no una auditoría de seguridad.
Por qué importa
Un paquete de app normalmente puede desempaquetarse y leerse. Cualquier cosa dentro de la app, incluida una clave escrita en el código, debe considerarse legible por cualquiera que descargue la app. Una clave en un repositorio de código público es legible por cualquiera que encuentre el repositorio.
Lo que pasa después depende de la clave: alguien podría disparar costes en tu cuenta, leer datos o enviar peticiones en tu nombre.
Dónde buscar
Busca en todo el proyecto (incluidos los archivos ocultos):
- Palabras como
key,secret,token,password,apikey,Bearer. - Cadenas largas con aspecto aleatorio.
- Archivos como
.env, archivos de configuración y archivos "de ejemplo" que contengan valores reales. - URL de backend que incluyan una contraseña o un token.
- Tu historial de chats o de prompts: si pegaste una clave ahí, ya salió de tu equipo.
- El historial de control de versiones: una clave borrada hoy puede seguir en un commit antiguo.
Orden de corrección
- Reemplaza, no solo ocultes. Si una clave estuvo alguna vez en código que compartiste, en un repositorio público o en un prompt, crea una nueva en el panel del proveedor y desactiva la antigua.
- Saca el secreto de la app. El patrón habitual: la app llama a tu propio servidor pequeño, y solo el servidor tiene la clave. Pide a tu herramienta de programación que te explique este patrón para tu configuración, y luego verifica el resultado tú mismo con la búsqueda de arriba.
- Limita lo que puede hacer una clave. Muchos proveedores permiten restringir una clave a una app o fijar un límite de gasto. Úsalo.
- Mantén los archivos secretos fuera del control de versiones con una regla de ignorar, y revisa el historial.
- Vuelve a compilar y busca de nuevo, esta vez dentro del paquete final de la app.
Algunas claves están pensadas para ser públicas (por ejemplo, identificadores para un servicio de mapas o de analítica). Revisa la documentación del proveedor para saber qué tipo tienes.
Si una clave ya salió
- Crea una clave nueva y desactiva la antigua primero.
- Revisa la página de uso del proveedor por si hay algo inesperado.
- Publica una actualización de la app que use la nueva configuración.
- Si pudieron estar implicados datos de usuarios, revisa qué obligaciones legales te aplican; no es asesoramiento legal.
Lo que no debes prometer
No digas a los usuarios que la app es "segura" o "auditada" a menos que una persona cualificada la haya auditado. Di lo que realmente haces: por ejemplo, "no guardamos contraseñas" solo si es cierto.
Siguiente paso
Una mirada nueva ayuda. AppReviewX ofrece feedback privado y estructurado de otros desarrolladores, y puedes pedir a un tester que pruebe cosas que un usuario normal no haría. Prueba AppReviewX.
Relacionado: centro de vibe coding, errores que encuentran los testers en apps construidas con IA, prueba cerrada para una app hecha con vibe coding.