Секретний ключ Stripe у фронтенді може рухати гроші

Відкрийте свій робочий застосунок у браузері, подивіться вихідний код сторінки й пошукайте в ньому sk_live_. Якщо повернувся довгий рядок, секретний ключ Stripe відкритий у вашому фронтенді, і кожен відвідувач, який у вас коли-небудь був, міг його скопіювати.

Ось те, у чому загальні поради про ключі API помиляються: Stripe дає вам два активні ключі, вони виглядають майже однаково, і один із них має лежати у вашому застосунку. Ключ, що починається з pk_live_, там і має бути. Ключ, що починається з sk_live_, має, за власними словами Stripe, необмежені права на всі API. Вони різняться одним символом посеред довгого рядка, і в цьому більша частина причини, чому таке стається знову й знову.

Між 12 і 14 серпня 2026 року ми пропустили дев'ять зовнішніх перевірок через 30 998 робочих застосунків, зібраних у Lovable, Bolt, v0, Replit і Base44. Три з них віддавали активний секретний ключ Stripe, ще два обмежений, і це робить знахідку однією з найрідкісніших за весь обхід; ті самі дев'ять перевірок знайшли ключ API Google у 1 142 застосунках. Усі три секретні ключі дали оцінку D, бо одна критична знахідка ставить там стелю, хоч би що застосунок зробив правильно в усьому іншому. Повні цифри є в нашому звіті сканування.

Чи є проблемою секретний ключ Stripe, відкритий у фронтенді?

Так, якщо рядок починається з sk_live_. Ні, якщо з pk_live_.

Stripe видає два активні ключі, бо дві половини платежу відбуваються у двох різних місцях. Уявіть прилавок у магазині. Термінал для карток повернутий до покупця й прикручений на видноті, і найгірше, що може зробити з ним стороння людина, це заплатити вам. Каса за прилавком це зовсім інший предмет. Вона відкривається, у ній лежить денна виручка, а в шухляді під нею лежить картка на кожного клієнта з його адресою.

pk_live_ це термінал для карток. Його робота будувати форму оплати в чужому браузері, і документація Stripe каже, що публічні ключі можна безпечно відкривати у фронтенд-коді.

sk_live_ це ключ від каси. Stripe описує секретні ключі як такі, що мають необмежені права на всі API, і це те саме речення, прочитане з іншого боку: у вашому акаунті немає нічого, чого він не дістане.

Вашому застосунку потрібен термінал у браузері, щоб узагалі прийняти платіж. Ключ від каси йому не потрібен ніколи.

pk_live_ і sk_live_: як їх розрізнити

Прочитайте другий символ префікса. У цьому вся перевірка.

Середина префікса це друге, що варто прочитати. _test_ не дістає нічого поза вашою пісочницею, тож витеклий тестовий ключ не коштує вам грошей; він усе одно оприлюднює, як зібрана ваша інтеграція, а настанова Stripe полягає в тому, щоб вважати скомпрометованим будь-який секретний чи обмежений ключ, побачений не на своєму місці. Новіші акаунти можуть нести ще й ключ організації, що починається з sk_org_ і працює одразу через кілька акаунтів Stripe. Для нього діє те саме правило, і витік там сягає далі за один акаунт.

Що хтось може зробити з витеклим секретним ключем Stripe

Усе, що можете ви у власній панелі й для чого не потрібен пароль.

Не «отримати несанкціонований доступ». Конкретно, маючи лише рядок і термінал: прочитати повний список ваших клієнтів, з іменами, електронними адресами, адресами для рахунків і останніми чотирма цифрами кожної картки. Прочитати кожен платіж, який ви коли-небудь прийняли, і за що платив кожен клієнт. Зробити повернення. Створити списання й платіжні посилання від вашого імені. Скасувати підписки.

Далі є використання, яке взагалі не про вас. Ваш акаунт стає місцем для card testing, і це власний термін Stripe для шахрая, який проганяє крадені номери карток через чиюсь інтеграцію, щоб знайти ті, що ще працюють. Картки належать іншим людям. Відмови, спори й пояснення належать вам.

Чого вони переважно не можуть, так це заплатити самі собі. Повернення йде назад на картку, якою зробили початковий платіж, а виплата йде на банківський рахунок у профілі, а він ваш. Це звучить як добра новина і нею не є: це означає, що шкода приходить як ваші гроші, що йдуть геть, як скопійовані картки ваших клієнтів і як ваш акаунт, використаний для чужого шахрайства, а не як переказ, на який можна вказати й піти по слідах.

Нічого з цього не потребує витонченого зловмисника. Власна документація Stripe каже, що шахрайські дійові особи безперервно перебирають публічні бази коду в пошуках відкритих ключів, і цим сканерам не треба знати, хто ви, щоб знайти ваш.

Як замінити секретний ключ Stripe, не зламавши платежі

Спершу створіть заміну, запустіть її в роботу, і лише тоді дайте старому завершитися. Саме в такому порядку.

1. У панелі Stripe створіть новий секретний ключ. Старий поки не чіпайте; вони працюють одночасно, і саме це накладання тримає ваше оформлення замовлення на ходу.
2. Покладіть новий ключ туди, де жив старий, а це має бути сервер, Edge Function або serverless-маршрут. Ніколи не застосунок, який завантажує браузер.
3. Задеплойте, а потім прийміть один реальний платіж. Успішне списання це єдиний доказ, що новий ключ під'єднаний правильно.
4. Дайте старому ключу завершитися. Stripe описує це саме так: завершення секретного чи обмеженого ключа не дає йому зробити жодного подальшого виклику API.
5. Прочитайте історію платежів за період, коли ключ був відкритий, і свою пошту від Stripe на предмет усього, чого ви не робили.

Якщо ключ уже назовні і ви радше втратите кілька платежів, ніж лишите його активним ще на годину, зробіть навпаки. Заміна ключа блокує його одразу й генерує новий, а Stripe зазначає, що створені старим ключем вебхук-ендпоїнти лишаються активними, тож ваша обробка подій переживе аварійну ситуацію.

Є ще один крок, і саме його більшість робить першим: видалити ключ із коду. Зробіть це, розуміючи, що саме воно дає. Ваші відвідувачі вже завантажили файл, який його ніс, той файл лежить у кешах браузерів, які ви не контролюєте, а старе значення досі є у вашій історії версій. Завершити ключ у Stripe це те, що зачиняє двері. Прибрати рядок це те, що не дає вам відправити його знову.

Публічні ключі, до речі, завершити не можна взагалі. Stripe ніколи не будував такого засобу, бо той ключ ніколи й не мав бути закритим.

Що таке обмежений ключ Stripe і коли він є правильною відповіддю

Ключ, вирізаний під одну роботу, а не під усі.

Обмежений ключ починається з rk_live_ і несе лише ті права, які ви позначили під час створення. Ключ, якому дозволено читати рахунки, не зробить повернення. Ключ, якому дозволено створювати списання, не прочитає ваш список клієнтів. Stripe радить переходити із секретних ключів на обмежені саме з цієї причини, і це добра порада про код, який працює на вашому сервері.

Це не спосіб зробити прийнятним ключ у браузері. Два з 30 998 застосунків нашого обходу віддавали обмежений ключ у фронтенді, і обидва отримали оцінку C. Наш скан вважає обмежений ключ високою знахідкою там, де секретний є критичною, а одна висока знахідка ставить стелю на оцінці C. Той, хто знайде цей ключ, усе одно отримає кожне право, яке ви позначили, звідки завгодно.

Де обмежений ключ справді заробляє своє місце, так це в незручному проміжному випадку, а застосунки, зібрані з ШІ, породжують їх чимало. Інструмент автоматизації, якому треба читати ваші виплати. Скрипт звітності, який хтось написав вам на Fiverr. Edge Function, яка створює лише один вид списання. Кожне з цього працює на сервері й кожному потрібна частка вашого акаунта, тож кожне отримує власний ключ саме з тією позначеною часткою, і того дня, коли один витече, ви відкликаєте один ключ, а не перезбираєте всю інтеграцію.

Як перевірити, що ваш застосунок віддає насправді

Почніть руками, бо це нічого не коштує й нічого не треба встановлювати. Відкрийте свій робочий сайт, подивіться вихідний код сторінки й пошукайте в ньому sk_live_, потім rk_live_, потім pk_live_. Знайти третій і не знайти перших двох це той результат, який вам потрібен.

Чого пошук у вихідному коді не бачить, так це JavaScript, який сторінка завантажує після, а в застосунку, зібраному в Lovable, Bolt чи Replit, це майже все. Наш безкоштовний сканер відкриває ваш застосунок у справжньому браузері, чекає, доки надійдуть бандли, і читає їх. Він класифікує те, що знаходить, а не просто збігається з рядками, схожими на ключ, тож pk_live_ повертається позначеним як правильний, а sk_live_ як критична знахідка, і ці двоє ніколи не опиняються в одній купі.

Оцінка, бали й підрахунки з'являються на екрані приблизно за 20 секунд, без акаунта. Дасте адресу пошти, і разом із нею прийде докладний перелік, а до нього виправлення, написане під той білдер, яким ви користувалися, і його можна вставити як є.

Три речі, яких скан не робить, і саме вони є причинами, чому його можна спокійно наводити на робочий застосунок, що приймає справжні платежі: він ніколи не входить в акаунт, ніколи нічого не записує й ніколи не зберігає знайдений ключ. Відкритий секрет зберігається як маскована підказка вигляду sk_live_…a1b2, а справжнє значення викидається. Проскануйте застосунок або спершу прочитайте, на що дивиться кожна з дев'яти перевірок.

Що зробити просто зараз

Ключ Stripe зазвичай приходить пізно. Застосунок виходить, працює якийсь час, а тоді одного дня ви додаєте оформлення замовлення, і саме цей деплой уперше кладе в бандл платіжні дані доступу. Скан, який ви запустили на старті, був знімком застосунку, який ще не вмів приймати гроші.

Reeve Monitor зроблений саме для цього розриву. Він проганяє всі дев'ять перевірок щогодини на трьох застосунках, стежить за доступністю кожні 60 секунд, повідомляє вам того дня, коли результат змінився, замість чекати, доки ви подивитеся, і надсилає щомісячний звіт простою мовою. Ключ, який потрапив у бандл із четверговим деплоєм, буде в скані тієї самої години. Це $12 на місяць за прайсом, із сімома безкоштовними днями до першого списання, а сторінка тарифів інколи показує менше за цифру тут і ніколи більше.

Якщо вам зручніше йти за списком, то 10-хвилинний чекліст безпеки покриває це разом з іншим, що варто закрити у щойно запущеному застосунку. Щодо ширшого питання, яким ключам узагалі місце в браузері, у нас є посібник про те, як відрізнити публічні ключі від секретних, те саме питання для ключа OpenAI, і перепис того, що 30 998 застосунків віддавали насправді.