In questa guida
Un segreto è qualsiasi cosa che dimostri che la tua app o il tuo server può fare qualcosa: una chiave API, una password, un token, una stringa di connessione al database. Quando costruisci con i prompt, è facile incollare una chiave nella chat per "farla funzionare", e lo strumento potrebbe scriverla direttamente in un file sorgente. Non è un difetto di carattere; è il modo più veloce per far girare una demo. Va solo ripulito prima del rilascio.
Questa è una guida generale, non un audit di sicurezza.
Perché conta
Il pacchetto di un'app può in genere essere scompattato e letto. Qualsiasi cosa dentro l'app, incluso una chiave scritta nel codice, va considerata leggibile da chiunque scarichi l'app. Una chiave in un repository di codice pubblico è leggibile da chiunque trovi quel repository.
Cosa succede allora dipende dalla chiave: qualcuno potrebbe far salire i costi sul tuo account, leggere dati o inviare richieste al tuo posto.
Dove cercare
Cerca in tutto il progetto (inclusi i file nascosti):
- Parole come
key,secret,token,password,apikey,Bearer. - Stringhe lunghe dall'aspetto casuale.
- File come
.env, file di configurazione e file "example" che contengono valori reali. - URL di backend che includono una password o un token.
- La cronologia della chat o dei prompt: se ci hai incollato una chiave, è uscita dalla tua macchina.
- La cronologia del controllo versione: una chiave cancellata oggi può essere ancora in un commit precedente.
Ordine di intervento
- Sostituisci, non nascondere. Se una chiave è mai finita in codice condiviso, in un repository pubblico o in un prompt, creane una nuova nella dashboard del fornitore e disattiva quella vecchia.
- Sposta il segreto fuori dall'app. Lo schema usuale: l'app chiama un tuo piccolo server, e solo il server tiene la chiave. Chiedi al tuo strumento di coding di spiegarti questo schema per la tua configurazione, poi verifica tu il risultato con la ricerca sopra.
- Limita cosa può fare una chiave. Molti fornitori permettono di limitare una chiave a una sola app o di impostare un tetto di spesa. Usalo.
- Tieni i file dei segreti fuori dal controllo versione con una regola di ignore, e controlla la cronologia.
- Ricostruisci e cerca di nuovo, questa volta dentro il pacchetto finito dell'app.
Alcune chiavi sono pensate per essere pubbliche (per esempio gli identificativi per un servizio di mappe o di analisi). Controlla la documentazione del fornitore per sapere di quale tipo hai.
Se una chiave è già stata pubblicata
- Crea prima una nuova chiave e disattiva la vecchia.
- Controlla la pagina di utilizzo del fornitore per eventuali anomalie.
- Pubblica un aggiornamento dell'app che usa la nuova configurazione.
- Se potrebbero essere coinvolti dati di utenti, verifica quali obblighi di legge ti riguardano; non è consulenza legale.
Cosa non promettere
Non dire agli utenti che l'app è "sicura" o "verificata" a meno che qualcuno di qualificato non l'abbia verificata. Dichiara ciò che fai davvero: per esempio "non memorizziamo le password" solo se è vero.
Prossimo passo
Uno sguardo nuovo aiuta. AppReviewX offre feedback privato e strutturato da altri sviluppatori, e puoi chiedere a un tester di provare cose che un utente normale non farebbe. Prova AppReviewX.
Correlati: Hub del vibe coding, bug che i tester trovano nelle app costruite con l'AI, test chiuso per un'app creata con il vibe coding.