API keys expuestas en el JavaScript del cliente

Llama a las APIs de terceros desde una ruta de servidor o un backend, nunca desde el navegador. El navegador habla con tu endpoint; tu endpoint guarda la clave.

// app/api/summarize/route.ts (server-only)
export async function POST(req: Request) {
  const { text } = await req.json();
  const r = await fetch("https://api.openai.com/v1/responses", {
    method: "POST",
    headers: { Authorization: `Bearer ${process.env.OPENAI_API_KEY}` },
    body: JSON.stringify({ model: "gpt-4o-mini", input: text }),
  });
  return Response.json(await r.json());
}

En Next.js solo las variables con el prefijo NEXT_PUBLIC_ se exponen al navegador. Nunca pongas un secreto detrás de ese prefijo: úsalo solo para valores que pueden ser públicos sin riesgo.

Si un secreto llegó al navegador, revócalo y emite uno nuevo. Quitarlo del próximo build no invalida las copias que ya fueron extraídas.