Chiave API esposta nel frontend: cosa spediscono 30.998 app

Qualcuno apre la tua app, preme F12 e ti dice che c’è una chiave API esposta nel tuo frontend. La parola usata di solito è «trapelata». Raramente ti dicono quale chiave sia, e i consigli che trovi dopo trattano tutte le chiavi come la stessa emergenza.

Non sono la stessa emergenza, e ora possiamo mettere dei numeri sulla distanza. Tra il 12 e il 14 agosto 2026 abbiamo eseguito nove controlli esterni su 30.998 app online costruite con Lovable, Bolt, v0, Replit e Base44, e letto il JavaScript che ciascuna consegna a un browser. Ecco cosa c’era dentro.

Una chiave API esposta nel frontend è davvero un problema?

Di solito no, e la forma di questo «di solito» è più sbilanciata di quanto ci aspettassimo.

Abbiamo trovato una chiave degna di nota in 1.332 delle 30.998 app. In 1.080 di esse l’unica cosa trovata era una chiave API Google, cioè proprio la credenziale che deve stare nella tua pagina. A proteggere quella è un’impostazione conservata dalla parte di Google, e nasconderla non ha mai fatto parte dell’accordo.

Le altre 29.666 app non consegnavano nulla che il nostro controllo dei segreti tratti come un problema. Quel numero ha bisogno di una precisazione per essere onesto: le chiavi pubblicabili ne sono escluse. Una chiave anon di Supabase o una chiave pk_ di Stripe appartiene al browser, quindi la segniamo come una cosa che hai fatto bene e non entra mai in questi conteggi.

Cosa abbiamo contato e cosa non siamo riusciti a contare

Abbiamo caricato ogni app come fa un visitatore, in un browser vero, e letto il JavaScript scaricato. Tutto ciò che segue è una forma trovata in quel codice.

Riconosciamo i formati di chiave che conosciamo. Stripe, OpenAI, Anthropic, AWS, Google e Supabase hanno prefissi identificabili, e un JWT Supabase dichiara il proprio ruolo in testo leggibile nella sezione centrale. Una credenziale in un formato che non riconosciamo non è in questi numeri, quindi leggili come un minimo.

Non abbiamo usato nessuna chiave trovata. Nemmeno una volta, su nessuna app. Abbiamo annotato il tipo e un indizio mascherato nella forma sk_live_…a1b2, e il valore reale non è stato scritto da nessuna parte.

Nessuna app viene nominata. Non qui, non nel set di dati, non in nulla di ciò che pubblichiamo.

Quasi tutte sono app pubblicate sul dominio di un builder. Il metodo completo, il campione e ogni cifra dietro questo articolo sono nel nostro rapporto di scansione, compreso ciò che non siamo riusciti a misurare.

Cosa spedivano davvero le 30.998 app

Una tabella, ordinata per quante volte abbiamo visto ciascuna cosa. Il controllo dei segreti si è concluso su tutte e 30.998 le app, quindi ogni conteggio qui sotto è su tutte.

Le righe sommate superano 1.332 perché una singola app può portarne due. Ordina quelle stesse 1.332 app in gruppi che non si sovrappongono e il quadro diventa ancora più netto: 1.080 avevano una chiave Google e nient’altro, 198 avevano un valore ad alta entropia che può essere o non essere una credenziale vera, e 54 avevano una chiave che è un segreto autentico già per la sua forma.

Il secondo gruppo merita di essere descritto con cura. Un valore ad alta entropia messo accanto a una parola come secret o password può essere una credenziale viva, oppure un identificatore di sessione, un hash di build o un token pubblico con un nome sfortunato. Lo segnaliamo come qualcosa da guardare, e dall’esterno nessuno può dirti quale delle due cose sia.

Le 54 del terzo gruppo sono la cosa vera. Tutte tranne due sono uscite con voto D o F, perché un solo riscontro critico limita il voto a D per quanto bene l’app abbia fatto tutto il resto. Il gruppo singolo più grande al suo interno è la chiave OpenAI, a quota 33, e quella non ha nessuna impostazione che la renda sicura in un browser.

La chiave contro cui tutti mettono in guardia era la cosa più rara

Tre app. Tante sono quelle che spedivano una chiave service_role di Supabase, quella che passa oltre ogni regola di tabella che hai scritto. Una chiave segreta Stripe è comparsa anch’essa tre volte.

Mettilo accanto all’altra metà della stessa scansione. Fra le app scansionate, 8.429 nominavano un progetto Supabase, e i due riscontri stanno dentro quello stesso gruppo. Tre di esse spedivano la chiave service_role. In 2.096 di esse almeno una tabella ha risposto a una richiesta senza alcun accesso, e in 394 quella tabella portava un nome di persone: users, profiles, customers, orders.

Le 2.096 sono un minimo. 4.749 delle 8.429 non hanno mai risposto al nostro controllo del database, per ragioni che dall’esterno non vediamo, e quelle sono registrate come sconosciute anziché come pulite. Le tre chiavi service_role sono un conteggio esatto, perché una chiave si legge da codice che ogni app consegna.

Perché gli avvertimenti puntano alla chiave sbagliata

Vediamo solo l’esterno di queste app, quindi non possiamo dirti perché. Ciò che possiamo mostrare è quale errore sopravvive.

Copiare la chiave Supabase sbagliata è davvero facile. In un progetto più vecchio, anon e service_role stanno una accanto all’altra nello stesso pannello della dashboard, hanno la stessa lunghezza e la stessa forma, e non si rompe nulla se prendi quella sbagliata. Eppure è successo solo tre volte su 30.998 app, perché nulla ti spinge in quella direzione. Incollare l’una o l’altra fa funzionare l’app.

La tabella aperta, invece, ha una forza dietro di sé. Row Level Security viene attivata, l’app smette di mostrare dati, viene scritta una policy che permette a chiunque per farla tornare a funzionare, e da quel momento la dashboard segnala la tabella come protetta. Attivarla non è la stessa cosa che essere protetti. La nostra scansione classifica quella tabella come riscontro critico in un giorno in cui la tua dashboard ti mostra l’interruttore attivo e una policy al suo posto.

Come trovare gratis una chiave API esposta nella tua app

Comincia a mano, perché costa cinque minuti e non richiede nulla da installare. Apri il tuo sito online, guarda il codice sorgente della pagina e cerca quattro stringhe: AIza per una chiave Google, sk_ per un segreto Stripe o di un fornitore di modelli, service_role per la chiave Supabase che ignora le tue regole, e eyJ per qualunque token Supabase. Tutto ciò che torna indietro è già nelle mani di ogni visitatore che hai.

Questo ti dà la pagina in sé. Ciò che sfugge è il JavaScript che la pagina carica dopo, ed è esattamente per questo che il nostro scanner apre un’app in un browser vero e legge i bundle invece dell’HTML. Cercare a mano non può nemmeno dirti se il token eyJ che hai trovato è la chiave anon o quella segreta, perché le due hanno la stessa lunghezza e la stessa forma.

La nostra scansione gratuita copre entrambe le cose. Carica la tua app in un browser vero, legge il codice che arriva davvero, decodifica ogni token Supabase e riporta il ruolo scritto al suo interno, così una chiave pubblicabile torna segnata come corretta invece di finire sepolta in un muro di rosso. Ottieni un voto, un punteggio e i conteggi a schermo in una ventina di secondi senza account. Dai un indirizzo email e ottieni anche l’elenco dettagliato, con una correzione scritta per il tuo builder che puoi incollare direttamente.

Tre cose che non farà, e sono le ragioni per cui è sicuro su un’app online: non accede mai, non scrive mai nulla e non conserva mai una chiave che trova. Un segreto esposto viene salvato come indizio mascherato tipo sk_live_…a1b2, e il valore reale viene scartato. Scansiona la tua app, oppure leggi prima cosa guarda ciascuno dei nove controlli.

Cosa fare, nell’ordine che i numeri suggeriscono

Percorri l’intero elenco in una sola volta con la checklist di sicurezza in 10 minuti, che copre la chiave e le regole delle tabelle insieme alle altre cose da chiudere in un’app appena lanciata. E se è la metà sul database di questo articolo a preoccuparti, ha un censimento tutto suo: chi può leggere il tuo database Supabase.