Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica

Qualcuno ha aperto la tua app Lovable, ha premuto F12 e ha trovato nel codice un valore che sei certo di aver messo in un file .env. Oppure hai chiesto al builder una funzione, lui ha scritto una riga che comincia con VITE_, e qualcosa che hai letto da allora dice che quel prefisso è il punto da cui le chiavi escono. Il file ha .env nel nome e ogni tutorial dice di non condividerlo mai. Variabili d’ambiente Vite esposte a ogni visitatore suonano come un bug di Vite.

Ecco la parte che una guida dopo l’altra sbaglia: niente ha fallito nel nascondere quel valore. VITE_ e NEXT_PUBLIC_ sono un’istruzione al tuo strumento di build, e l’istruzione è mettere il valore nell’app che ogni visitatore scarica. Lo strumento ha letto l’etichetta e ha fatto quel che diceva.

Una build impacchetta la tua app in una scatola, e ogni visitatore riceve una copia della scatola. Il prefisso è un’etichetta su un valore che dice: metti dentro anche questo. Il resto di questo articolo riguarda per quali valori quell’etichetta è giusta, perché l’IA la mette su quelli sbagliati, e come vedere cosa c’è nella tua scatola.

Le variabili d’ambiente Vite sono esposte ai visitatori?

Quelle che cominciano con VITE_ sì, ed è a questo che serve il prefisso.

Vite, lo strumento di build dietro la maggior parte delle app Lovable e Bolt, legge il tuo file .env a ogni build. Una variabile chiamata VITE_SUPABASE_URL viene copiata nel bundle, il file JavaScript compresso che ogni visitatore scarica, dove il tuo codice la legge come import.meta.env.VITE_SUPABASE_URL. Una variabile chiamata DB_PASSWORD, senza prefisso, arriva vuota nel browser. La documentazione stessa di Vite dice che i valori con prefisso vengono inclusi nel tuo codice sorgente al momento della build e non dovrebbero contenere chiavi API.

Next.js, con cui costruisce v0, ha la stessa regola sotto un altro nome: NEXT_PUBLIC_. La sua documentazione descrive il valore come inlined, una stringa fissa scritta nel bundle del browser quando fai la build. Expo usa EXPO_PUBLIC_ e avverte con le stesse parole. I vecchi progetti Create React App usano REACT_APP_. Ogni prefisso dice al suo strumento di build la stessa cosa: questo va nella scatola.

Perché un file .env sembra privato e non lo è

Perché l’abitudine di tenere una chiave in un file .env viene dai server, dove funziona.

Su un server, il file e il codice che lo legge stanno su una macchina che controlli tu. Un visitatore riceve una risposta da quella macchina e non vede mai il file. Tenere la chiave fuori dal codice e dentro un file che il server legge all’avvio è buona pratica lì, ed è lì che è stato scritto ogni tutorial che dice «mettila in .env».

Il tuo file .env ha due lettori, e i tutorial parlano di uno solo. Il primo è chiunque possa vedere il tuo progetto: un collaboratore, un repository GitHub pubblico, la vista file del builder stesso. Una voce in .gitignore, che è una lista di file che git lascia fuori, tiene .env lontano da quel lettore. Il secondo lettore è la build, che apre il file ogni volta che pubblichi e copia fuori tutto ciò che porta il prefisso. .gitignore non le dice niente.

Quindi «il mio .env è in gitignore» è vero, e risponde a un’altra domanda. Il file è rimasto fuori dal tuo repository. I valori con prefisso sono entrati nell’app lo stesso, perché quella è la strada che il prefisso apre, e in un progetto Lovable, Bolt o v0 la maggior parte del codice che hai modificato gira nel browser, dove non c’è nessun server dietro cui il file possa restare.

Perché l’IA ha scelto il prefisso

Perché è così che si fa funzionare un valore nel codice del browser, e il modello non ha idea di quanto costi quel valore.

Hai chiesto una mappa, o una chat che risponde alle domande sul tuo prodotto. Il codice che il builder ha scritto per questo gira nel browser del visitatore, e il codice del browser che legge process.env.OPENAI_API_KEY non riceve proprio niente. Il modo per far arrivare il valore è il prefisso. Il builder rinomina la variabile in VITE_OPENAI_API_KEY, la funzione funziona nell’anteprima, e nessun errore viene sollevato da nessuna parte, perché dal lato dello strumento di build niente è andato storto.

Il prefisso non giudica. È la stessa istruzione per una chiave Google Maps, che deve essere pubblica una volta ristretta, e per una chiave segreta Stripe, che può rimborsare ogni cliente che hai. Una persona che sapesse che la seconda addebita la tua carta si fermerebbe. Il modello sa che la funzione non andava finché la riga non c’era, e poi è andata.

Per questo salta fuori su app i cui proprietari hanno fatto tutto ciò che è stato detto loro. Il valore è stato tolto dal codice, tenuto in .env, il file era in gitignore, e l’app lo spedisce comunque, perché l’unico passaggio che lo pubblica somiglia al passaggio che lo fa funzionare.

Quali valori vanno dietro il prefisso

Un indirizzo e una chiave pubblicabile. Qualsiasi cosa spenda soldi o ignori le regole del tuo database, no.

Se la tua app ha VITE_SUPABASE_URL e accanto una chiave pubblicabile, quella è la coppia che Supabase ha pensato per un browser, e la nostra scansione la segna come al suo posto. L’indirizzo e la chiave pubblicabile sono il motivo per cui il prefisso esiste.

Il test per tutto il resto è se ti darebbe fastidio vedere il valore stampato sulla tua home page. Il prefisso lo mette un clic più lontano di così, in un file invece che sulla pagina, e chiunque voglia il file ce l’ha. Distinguere le due famiglie, dal prefisso e, su una vecchia chiave Supabase, dal ruolo che contiene, è un articolo a sé.

Cosa spedivano 30.998 app dietro il prefisso

Soprattutto chiavi API di Google. 52 app spedivano una chiave che spende soldi o legge tutto.

Nell’agosto 2026 abbiamo eseguito gli stessi nove controlli su 30.998 app vibe-coded online. 1.332 di queste, il 4%, spedivano qualcosa a forma di chiave nel codice che ogni visitatore scarica. 1.142 di quelle erano chiavi API di Google, che di solito hanno bisogno di una restrizione impostata in Google Cloud e non di una rotazione. 204 spedivano un valore dall’aria casuale accanto a un nome come secret o password, che può essere una credenziale vera oppure no.

Quelle costose erano rare. 33 app spedivano una chiave OpenAI, 9 una chiave di accesso AWS, 5 una chiave Anthropic, 3 una chiave segreta Stripe e 3 una service_role Supabase: 52 app in tutto, visto che una di loro ne portava due. Quindi il valore dietro il prefisso è di solito una chiave Google, e la soluzione per quello è un’impostazione. Il caso raro è quello in cui sta il danno, e quanto costa una chiave OpenAI trapelata è l’articolo per quello.

Come controllare cosa spedisce la tua app

Apri l’app online, premi F12 e cerca il valore in ogni file caricato.

1. Apri la tua app pubblicata in un browser, al suo indirizzo vero. L’anteprima del builder è un’altra build e può essere una versione indietro.
2. Premi F12 per aprire gli strumenti per sviluppatori, poi scegli la scheda Sources.
3. Premi Ctrl+Maiusc+F, o Cmd+Opzione+F su un Mac. Si apre una ricerca in ogni file che la pagina ha caricato.
4. Incolla i primi dieci caratteri circa del valore che ti preoccupa, e non incollarlo da nessun’altra parte.

Un risultato vuol dire che il valore è nella scatola che ogni visitatore riceve. Cerca il valore e non il nome: la build di solito sostituisce import.meta.env.VITE_OPENAI_API_KEY con il valore stesso, quindi una ricerca di VITE_ può tornare vuota mentre ogni valore che c’era dietro è lì.

Se preferisci non passare la tua app valore per valore, la nostra scansione gratuita legge il tuo sito online dall’esterno, tutti e nove i controlli, in circa 20 secondi e senza account. Nomina ogni chiave che trova per tipo, dice quali stanno bene in un browser, e scrive «Impossibile verificare» per tutto ciò a cui non ha potuto rispondere invece di una spunta: scansiona la tua app.

Dove va un vero segreto, invece

Su una macchina da cui i tuoi visitatori non scaricano mai niente. In un progetto Supabase è una Edge Function, un piccolo pezzo di codice server che Supabase esegue per te; in un’app Next.js è una route server; in un’app Replit è la metà server.

La forma è la stessa ovunque. Il tuo codice del browser chiede alla tua funzione di fare il lavoro. La funzione tiene la chiave, fa la chiamata a OpenAI o Stripe e rimanda la risposta. La chiave resta sulla macchina e il visitatore riceve un risultato. L’articolo su OpenAI lo disegna come un oggetto che si sposta di una casella a destra, ed è tutto qui il cambiamento.

Due cose ti dicono che il builder ha fatto quel che hai chiesto. La variabile ha perso il prefisso, quindi è OPENAI_API_KEY, e vive nei secret della funzione stessa, impostati nella dashboard di Supabase sotto Edge Functions, senza niente nel .env dell’app. E il file che la legge sta sotto supabase/functions/ o app/api/, da qualche parte che la build non impacchetta mai, invece che sotto src/.

Un ordine conta, ed è facile invertirlo. Se una chiave segreta è già stata spedita dietro un prefisso, spostarla non fa niente per le copie già scaricate. Ruotala prima presso il fornitore, poi sposta il lavoro. Se ruotare prima o chiudere prima la falla dipende da se la copia è già pubblica, e una volta che è stata in un bundle pubblicato, lo è.

Per un progetto Replit la stessa separazione ha un nome suo, Secrets, e cosa copre lo strumento Secrets e cosa no è un articolo a sé.

Cosa fare adesso

Ogni pubblicazione impacchetta una scatola nuova. La prossima funzione che chiedi è un’altra occasione perché un valore riceva il prefisso, e niente tra il builder e internet legge il bundle in uscita. Una scansione del mese scorso ha letto il bundle del mese scorso.

Reeve Monitor legge il bundle per te. Rilancia tutti e nove i controlli ogni ora su fino a tre app, ti avvisa quando un risultato cambia, controlla la disponibilità ogni 60 secondi e manda un report mensile. Una chiave che arriva nel bundle con la pubblicazione di martedì sta nella nuova scansione di quell’ora, che tu ti sia ricordato di guardare o no. Costa €12 al mese a listino, con sette giorni gratis prima di addebitarti qualcosa; la pagina dei prezzi a volte è sotto la cifra indicata qui e mai sopra.

Se preferisci affrontarlo come una lista, la checklist di sicurezza da 10 minuti copre questo e le altre cose che vale la pena spegnere in un’app appena lanciata.