Clé API exposée dans le frontend : ce que 30 998 applis livrent

Quelqu'un ouvre votre appli, appuie sur F12 et vous annonce qu'une clé API est exposée dans votre frontend. Le mot employé est en général « fuite ». On vous dit rarement de quelle clé il s'agit, et les conseils que vous trouvez ensuite traitent toutes les clés comme la même urgence.

Ce n'est pas la même urgence, et nous pouvons désormais chiffrer l'écart. Entre le 12 et le 14 août 2026, nous avons passé neuf vérifications externes sur 30 998 applis en ligne créées avec Lovable, Bolt, v0, Replit et Base44, et lu le JavaScript que chacune envoie à un navigateur. Voici ce qu'il y avait dedans.

Une clé API exposée dans le frontend est-elle vraiment un problème ?

En général non, et la forme de ce « en général » est plus déséquilibrée que nous ne le pensions.

Nous avons trouvé une clé digne d'être signalée dans 1 332 des 30 998 applis. Dans 1 080 d'entre elles, la seule chose trouvée était une clé API Google, c'est à dire précisément le justificatif censé se trouver dans votre page. Ce qui protège celle-là, c'est un réglage conservé du côté de Google, et la cacher n'a jamais fait partie de l'arrangement.

Les 29 666 autres applis ne livraient rien que notre vérification des secrets traite comme un problème. Ce chiffre demande une précision pour rester honnête : les clés publiables en sont exclues. Une clé anon Supabase ou une clé pk_ Stripe a sa place dans le navigateur, nous la marquons donc comme quelque chose que vous avez bien fait et elle n'entre jamais dans ces comptes.

Ce que nous avons compté, et ce que nous n'avons pas pu compter

Nous avons chargé chaque appli comme le fait un visiteur, dans un vrai navigateur, et lu le JavaScript téléchargé. Tout ce qui suit est une forme trouvée dans ce code.

Nous reconnaissons les formats de clé que nous connaissons. Stripe, OpenAI, Anthropic, AWS, Google et Supabase ont des préfixes identifiables, et un JWT Supabase indique son propre rôle en texte lisible dans sa section centrale. Un justificatif dans un format que nous ne connaissons pas n'est pas dans ces chiffres, lisez-les donc comme un plancher.

Nous n'avons utilisé aucune clé trouvée. Pas une seule fois, sur aucune appli. Nous avons noté le type et un indice masqué de la forme sk_live_…a1b2, et la valeur réelle n'a été écrite nulle part.

Aucune appli n'est nommée. Ni ici, ni dans le jeu de données, ni nulle part où nous publions.

Presque toutes sont des applis publiées sur le domaine d'un builder. La méthode complète, l'échantillon et chaque chiffre derrière cet article sont dans notre rapport de scan, y compris ce que nous n'avons pas pu mesurer.

Ce que les 30 998 applis livraient réellement

Un tableau, trié par fréquence d'apparition. La vérification des secrets a abouti sur chacune des 30 998 applis, chaque compte ci-dessous porte donc sur toutes.

Le total des lignes dépasse 1 332 parce qu'une appli peut en porter deux. Triez ces mêmes 1 332 applis en groupes qui ne se recouvrent pas et l'image devient plus nette encore : 1 080 avaient une clé Google et rien d'autre, 198 avaient une valeur à forte entropie qui peut être ou non un vrai justificatif, et 54 avaient une clé qui est un véritable secret par sa forme même.

Le deuxième groupe mérite d'être décrit avec soin. Une valeur à forte entropie posée à côté d'un mot comme secret ou password peut être un justificatif vivant, ou bien un identifiant de session, une empreinte de build ou un jeton public au nom malheureux. Nous le signalons comme méritant un coup d'œil, et de l'extérieur personne ne peut vous dire lequel c'est.

Les 54 du troisième groupe sont la vraie affaire. Toutes sauf deux ont obtenu la note D ou F, parce qu'un seul constat critique plafonne la note à D quoi que l'appli ait fait de bien par ailleurs. Le plus gros groupe à l'intérieur est la clé OpenAI, à 33, et celle-là n'a aucun réglage qui la rendrait sûre dans un navigateur.

La clé contre laquelle tout le monde met en garde était la plus rare

Trois applis. C'est le nombre de celles qui livraient une clé Supabase service_role, celle qui passe outre chaque règle de table que vous avez écrite. Une clé secrète Stripe est apparue trois fois elle aussi.

Mettez cela en regard de l'autre moitié du même balayage. Parmi les applis scannées, 8 429 nommaient un projet Supabase, et les deux constats se situent à l'intérieur de ce même groupe. Trois d'entre elles livraient la clé service_role. Dans 2 096 d'entre elles, au moins une table a répondu à une requête sans aucune connexion, et dans 394 cette table portait un nom de personnes : users, profiles, customers, orders.

Les 2 096 sont un plancher. 4 749 des 8 429 n'ont jamais répondu à notre vérification de base de données, pour des raisons que nous ne voyons pas de l'extérieur, et celles-là sont enregistrées comme inconnues plutôt que comme saines. Les trois clés service_role sont un compte exact, parce qu'une clé se lit dans du code que chaque appli remet.

Pourquoi les avertissements visent la mauvaise clé

Nous ne voyons que l'extérieur de ces applis, nous ne pouvons donc pas vous dire pourquoi. Ce que nous pouvons montrer, c'est quelle erreur survit.

Copier la mauvaise clé Supabase est vraiment facile. Dans un projet plus ancien, anon et service_role se trouvent côte à côte dans le même panneau du tableau de bord, elles ont la même longueur et la même forme, et rien ne casse si vous prenez la mauvaise. Cela n'est pourtant arrivé que trois fois sur 30 998 applis, parce que rien ne vous y pousse. Coller l'une ou l'autre fait fonctionner l'appli.

La table ouverte, elle, a une force derrière elle. Row Level Security est activée, l'appli cesse d'afficher des données, une politique qui autorise tout le monde est écrite pour que cela remarche, et à partir de cet instant le tableau de bord signale la table comme protégée. L'activer n'est pas la même chose qu'être protégé. Notre scan classe cette table en constat critique un jour où votre tableau de bord vous montre l'interrupteur activé et une politique en place.

Comment trouver gratuitement une clé API exposée dans votre appli

Commencez à la main, cela coûte cinq minutes et ne demande rien à installer. Ouvrez votre site en ligne, affichez le code source de la page et cherchez quatre chaînes : AIza pour une clé Google, sk_ pour un secret Stripe ou de fournisseur de modèle, service_role pour la clé Supabase qui ignore vos règles, et eyJ pour tout jeton Supabase. Tout ce qui remonte est déjà entre les mains de chacun de vos visiteurs.

Cela vous donne la page elle-même. Ce qui échappe à cette méthode, c'est le JavaScript que la page charge ensuite, et c'est précisément pour cela que notre propre scanner ouvre une appli dans un vrai navigateur et lit les bundles au lieu du HTML. Chercher à la main ne peut pas non plus vous dire si le jeton eyJ trouvé est la clé anon ou la secrète, car les deux ont la même longueur et la même forme.

Notre scan gratuit couvre les deux. Il charge votre appli dans un vrai navigateur, lit le code qui arrive vraiment, décode chaque jeton Supabase et rapporte le rôle qui y est écrit, si bien qu'une clé publiable revient marquée comme correcte au lieu d'être noyée dans un mur de rouge. Vous obtenez une note, un score et les comptes à l'écran en une vingtaine de secondes sans compte. Donnez une adresse e-mail et vous obtenez en plus la liste détaillée, avec une correction écrite pour votre builder que vous pouvez coller directement.

Trois choses qu'il ne fera pas, et ce sont les raisons pour lesquelles il est sûr sur une appli en ligne : il ne se connecte jamais, il n'écrit jamais rien, et il ne garde jamais une clé qu'il trouve. Un secret exposé est conservé sous forme d'indice masqué comme sk_live_…a1b2, et la valeur réelle est jetée. Scannez votre appli, ou lisez d'abord ce que regarde chacune des neuf vérifications.

Quoi faire, dans l'ordre que les chiffres suggèrent

Parcourez toute la liste en une seule fois avec la checklist de sécurité en 10 minutes, qui couvre la clé et les règles de tables à côté des autres choses à fermer dans une appli fraîchement lancée. Et si c'est la moitié base de données de cet article qui vous inquiète, elle a son propre relevé : qui peut lire votre base de données Supabase.