Чи є проблемою ключ API Google у вашому браузері?

Відкрийте свій застосунок у браузері, подивіться код сторінки й пошукайте AIza. Якщо у відповідь з’явиться рядок із сорока символів, вам, найпевніше, уже сказали, що він «у відкритому доступі», і, найпевніше, не сказали, що робити далі.

Ось те, у чому більшість порад на цю тему помиляється: ключ API Google у коді вашої сторінки це не та сама проблема, що й секретний ключ Stripe у коді вашої сторінки, і рішення полягає не в тому, щоб його сховати. Ставитися до них однаково означає або панікувати через свою карту, або, що гірше, звикнути знизувати плечима на слова «у відкритому доступі» саме перед тим днем, коли це матиме значення.

Між 12 і 14 серпня 2026 року ми провели ті самі дев’ять зовнішніх перевірок для 30 998 робочих застосунків, створених у Lovable, Bolt, v0, Replit і Base44. У 1 142 з них знайшовся ключ API Google. У трьох знайшовся секретний ключ Stripe. Повні цифри є в нашому звіті про сканування.

Чи погано, що мій ключ API Google видно в коді сторінки?

Зазвичай ні. Усе залежить від того, чи обмежений цей ключ.

Ключ API Google не є паролем. Він радше схожий на номер рахунку: він каже Google, який проєкт виставляти до сплати і з якої квоти списувати. Сам собою він нічого не каже про те, хто робить запит.

Саме тому він може жити на вашій сторінці. Карту малює браузер вашого відвідувача, тож саме браузер має надіслати цей номер рахунку до Google. Немає такого варіанту, у якому карта завантажується, а номер лишається прихованим.

Захист дає друге налаштування, що зберігається на боці Google і визначає, з яких сайтів цим номером можна користуватися. Google називає це обмеженням за HTTP-referrer. Коли воно встановлене, надрукований на вашій сторінці ключ працює на вашому сайті й повертає помилку скрізь інде.

Чому ваш застосунок узагалі віддає ключ

Тому що запит іде з браузера вашого відвідувача, а не з вашого сервера.

Коли хтось завантажує сторінку з картою, цей браузер звертається просто до maps.googleapis.com. Він має вказати, якому проєкту Google належить запит, і цей ідентифікатор має бути на сторінці, бо саме зі сторінки запит і робиться.

Google це знає. Саме тому обмеження існує як окремий елемент керування: ідентифікатор однаково став би публічним, тож те, що вирішує, хто може ним користуватися, живе там, куди публіка не дістанеться.

Як обмежити ключ API Google

Це безкоштовно, займає близько п’яти хвилин, і торкатися коду застосунку не потрібно. У консолі Google Cloud:

1. Перейдіть до API та сервіси → Облікові дані й натисніть на знайдений ключ.
2. У розділі Обмеження застосунку виберіть Вебсайти.
3. Додайте свій домен. Для сайту на yourapp.com додайте https://yourapp.com/*. Додайте також домен попереднього перегляду чи тестовий, якщо він у вас є, і згадайте адресу .lovable.app або .vercel.app, на якій ваш застосунок був опублікований до того, як ви під’єднали власний домен.
4. У розділі Обмеження API виберіть Обмежити ключ і позначте лише ті API, які ваш застосунок справді викликає. Карті з пошуком місць потрібні Maps JavaScript API та Places API, і більше нічого.
5. Збережіть, зачекайте кілька хвилин, потім завантажте власний сайт і перевірте, чи карта досі малюється.

Якщо крок 3 зроблено неправильно, ви дізнаєтеся про це одразу й наочно: карта падає з RefererNotAllowedMapError у консолі браузера, і це називає проблему точно. Додайте домен, якого бракує, і все знову працює. Ця зміна оборотна, і саме тому її варто зробити ще до того, як ви дочитаєте цю статтю.

Одного робити не варто: власні поради Google щодо усунення несправностей кажуть, що обмеження за IP-адресою призначені для серверних ключів і не підходять для ключа, яким користується браузер. Якщо обмежити фронтендний ключ за IP, ваш застосунок зламається для кожного відвідувача.

Якщо ви радше подивилися б, які ключі ваш застосунок насправді віддає, ніж перебирали їх по одному, наше безкоштовне сканування читає ваш робочий сайт ззовні й показує, що воно бачить. Це триває близько 20 секунд і не потребує акаунта: сканувати застосунок.

Які облікові дані Google доречні в браузері

Перші три рядки це той самий рядок символів. На ключі API Google спереду не написано, для чого він, тож питання ніколи не звучить як «який вигляд має цей ключ», а звучить як «що цьому ключу дозволено», і ця відповідь живе в консолі, а не у вашому коді.

Ключ Firebase створений, щоб бути публічним

Це той рядок, про який запитують найчастіше, і власна документація Firebase відповідає на це прямо: ключі API для сервісів Firebase можна тримати в коді чи у файлах конфігурації, бо вони ні до чого не надають доступ. Це вирішують правила безпеки Firebase та App Check.

Якщо це звучить знайомо, то це той самий устрій, що й у Supabase. Публічний ключ позначає проєкт, а правила за ним вирішують рядок за рядком, хто що може читати. В обох випадках ключ безпечний лише завдяки цим правилам, тож саме на правила варто піти й подивитися: увімкнути їх не означає бути захищеним.

Що насправді стається, коли витікає необмежений ключ

Рахунок, простій або і те, і те. Не витік даних.

Автоматичні збирачі обходять публічні сторінки, вишукуючи рядки AIza, а необмежений ключ працює звідусіль, тож ваш зрештою обслуговує фрагменти карти й пошук місць для чужого проєкту. Google називає це прямо у власній документації для початківців: причина встановлювати обмеження полягає в тому, щоб запобігти крадіжці квоти.

Помічають це зазвичай одним із двох способів. Рахунок більший, ніж минулого місяця, без причини, яку ви могли б назвати, або карти вашого застосунку перестають малюватися посеред місяця, бо проєкт вичерпав квоту й кожен відвідувач тепер бачить сірий прямокутник.

І те, і те виправно. Ані те, ані те не розкриває дані ваших користувачів, бо ключ Maps не може прочитати вашу базу даних. Це чесна різниця між цією знахідкою та витеклим ключем від бази, і саме тому наш сканер повідомляє про ключ API Google як про те, що варто перевірити, а не як про надзвичайну ситуацію.

Єдині облікові дані Google, які справді поводяться як надзвичайна ситуація, це сервісний акаунт. Якщо ваш застосунок віддає файл JSON із "type": "service_account" і блоком "private_key" усередині, то це справжні облікові дані зі справжніми правами у вашому хмарному проєкті. Видаліть ключ у консолі, а потім подивіться, до чого він міг дістатися.

Що зробити просто зараз

Якщо вам зручніше пройти це списком, 10-хвилинний чекліст безпеки охоплює це разом з іншим, що варто вимкнути у щойно запущеному застосунку. А щодо ширшого питання, які ключі взагалі доречні в браузері, у нас є посібник, як відрізнити публічні ключі від секретних.