Neste guia
Um segredo é qualquer coisa que prova que seu app ou seu servidor tem permissão para fazer algo: uma chave de API, uma senha, um token, uma string de conexão com o banco de dados. Quando você constrói por prompts, é fácil colar uma chave no chat para "fazer funcionar", e a ferramenta pode gravá-la direto em um arquivo de código. Isso não é um defeito de caráter; é o jeito mais rápido de colocar uma demo para rodar. Só precisa ser limpo antes do lançamento.
Isto é orientação geral, não uma auditoria de segurança.
Por que importa
Um pacote de app geralmente pode ser descompactado e lido. Qualquer coisa dentro do app, incluindo uma chave escrita no código, deve ser considerada legível por qualquer pessoa que baixe o app. Uma chave em um repositório de código público é legível por quem encontrar o repositório.
O que acontece depois depende da chave: alguém pode gerar custos na sua conta, ler dados ou enviar requisições em seu nome.
Onde procurar
Pesquise o projeto inteiro (incluindo arquivos ocultos) por:
- Palavras como
key,secret,token,password,apikey,Bearer. - Strings longas com aparência aleatória.
- Arquivos como
.env, arquivos de configuração e arquivos de "exemplo" que contenham valores reais. - URLs de back end que incluam uma senha ou token.
- Seu histórico de chat ou de prompts: se você colou uma chave ali, ela saiu da sua máquina.
- Histórico do controle de versão: uma chave apagada hoje ainda pode estar em um commit antigo.
Ordem de correção
- Substitua, não apenas esconda. Se uma chave já esteve em código que você compartilhou, em um repositório público ou em um prompt, crie uma nova no painel do provedor e desative a antiga.
- Tire o segredo do app. O padrão usual: o app chama um pequeno servidor seu, e só o servidor guarda a chave. Peça à sua ferramenta de código para explicar esse padrão para a sua configuração e depois verifique o resultado você mesmo com a pesquisa acima.
- Limite o que uma chave pode fazer. Muitos provedores permitem restringir uma chave a um app ou definir um teto de gastos. Use esse recurso.
- Mantenha os arquivos secretos fora do controle de versão com uma regra de ignorar arquivos, e confira o histórico.
- Recompile e pesquise de novo, agora dentro do pacote final do app.
Algumas chaves são feitas para ser públicas (por exemplo, identificadores de um serviço de mapas ou de análise). Confira a documentação do provedor para saber qual tipo você tem.
Se uma chave já foi publicada
- Crie uma nova chave e desative a antiga primeiro.
- Veja a página de uso do provedor para qualquer coisa inesperada.
- Publique uma atualização do app que use a nova configuração.
- Se dados de usuários podem ter sido envolvidos, verifique quais obrigações legais se aplicam a você; isto não é aconselhamento jurídico.
O que não prometer
Não diga aos usuários que o app é "seguro" ou "auditado" a menos que alguém qualificado tenha auditado. Diga o que você realmente faz: por exemplo, "não guardamos senhas", mas só se for verdade.
Próximo passo
Olhos novos ajudam. A AppReviewX oferece feedback privado e estruturado de outros desenvolvedores, e você pode pedir que um testador tente coisas que um usuário comum não faria. Experimente a AppReviewX.
Relacionados: central de vibe coding, bugs que os testadores encontram em apps feitos com IA, teste fechado para um app feito com vibe coding.