API-Keys, die in clientseitigem JavaScript offengelegt sind

Rufe Drittanbieter-APIs von einer Server-Route oder einem Backend auf, niemals aus dem Browser. Der Browser spricht mit deinem Endpoint; dein Endpoint hält den Key.

// app/api/summarize/route.ts (server-only)
export async function POST(req: Request) {
  const { text } = await req.json();
  const r = await fetch("https://api.openai.com/v1/responses", {
    method: "POST",
    headers: { Authorization: `Bearer ${process.env.OPENAI_API_KEY}` },
    body: JSON.stringify({ model: "gpt-4o-mini", input: text }),
  });
  return Response.json(await r.json());
}

In Next.js werden nur Variablen mit dem Präfix NEXT_PUBLIC_ an den Browser ausgeliefert. Stelle niemals ein Secret hinter dieses Präfix — verwende es nur für Werte, die gefahrlos öffentlich sein dürfen.

Ist ein Secret in den Browser gelangt, widerrufe es und stelle ein neues aus. Es aus dem nächsten Build zu entfernen, macht bereits abgegriffene Kopien nicht ungültig.