API keys exposées dans le JavaScript côté client

Appelez les API tierces depuis une route serveur ou un backend, jamais depuis le navigateur. Le navigateur parle à votre endpoint ; votre endpoint détient la clé.

// app/api/summarize/route.ts (server-only)
export async function POST(req: Request) {
  const { text } = await req.json();
  const r = await fetch("https://api.openai.com/v1/responses", {
    method: "POST",
    headers: { Authorization: `Bearer ${process.env.OPENAI_API_KEY}` },
    body: JSON.stringify({ model: "gpt-4o-mini", input: text }),
  });
  return Response.json(await r.json());
}

Dans Next.js, seules les variables préfixées par NEXT_PUBLIC_ sont exposées au navigateur. Ne mettez jamais un secret derrière ce préfixe — réservez-le aux valeurs qui peuvent être publiques sans risque.

Si un secret a été livré au navigateur, révoquez-le et réémettez-le. Le retirer du prochain build n’invalide pas les copies déjà récupérées.