API-Keys aus dem Client-Bundle entfernen — Lovable

Anderes Tool? Wähle deinen Stack:

Der Prompt für Lovable

Diesen Text exakt so in deinen Lovable-Chat kopieren und einfügen.

Fix my Lovable app — please make these exact changes in the Lovable editor:

CRITICAL: Move exposed API keys server-side immediately

1. I have accidentally exposed API keys in my frontend code. This is a critical security issue.
2. Move ALL API keys (OpenAI, Stripe, Anthropic, Supabase Service Role, AWS, SendGrid, etc.) to Supabase Edge Functions.
3. Create a Supabase Edge Function that makes the API call server-side and return only the result to the frontend.
4. Only the Supabase Anon Key should remain in the frontend code — everything else must be in Edge Function secrets.
5. After moving the keys, go to each provider dashboard and rotate/regenerate all leaked keys immediately — assume they are compromised.
6. Add /.env, /.env.local, and /.env.production to your .gitignore if not already there.

Warum das wichtig ist

Typische Fehler vermeiden

• error_outline`NEXT_PUBLIC_STRIPE_SECRET_KEY` nutzen — der Prefix machte es public. Jedes `NEXT_PUBLIC_*` shippt zum Browser.
• error_outlineOpenAI direkt aus React-Komponente aufrufen — Key kommt mit JS-Bundle.
• error_outline`.env` statt `.env.local` in Git committen — `.env` wird oft per Default getrackt.
• error_outlineSupabase `service_role`-Key im Client — umgeht RLS und liest/schreibt alles.
• error_outlineKey in API-Route shippen, aber bei Error `process.env` loggen und in Logs leaken.

Wie du prüfst ob der Fix geklappt hat

• check_circleDevTools → Sources → nach dem Key-Wert suchen — muss 0 Treffer liefern.
• check_circle`curl https://deinesite.com/ | grep "sk_live"` — liefert nichts für Stripe-Secret-Keys.
• check_circleNach Exposure rotieren — alte Keys sind für immer kompromittiert, auch wenn "entfernt".
• check_circleGitGuardian oder git-secrets im Repo einrichten für Pre-Commit-Leak-Detection.

Häufige Fragen