API key terekspos di JavaScript sisi klien

Panggil API pihak ketiga dari route server atau backend, jangan pernah dari browser. Browser berbicara ke endpoint-mu; endpoint-mu yang memegang key.

// app/api/summarize/route.ts (server-only)
export async function POST(req: Request) {
  const { text } = await req.json();
  const r = await fetch("https://api.openai.com/v1/responses", {
    method: "POST",
    headers: { Authorization: `Bearer ${process.env.OPENAI_API_KEY}` },
    body: JSON.stringify({ model: "gpt-4o-mini", input: text }),
  });
  return Response.json(await r.json());
}

Di Next.js hanya variabel dengan prefiks NEXT_PUBLIC_ yang diekspos ke browser. Jangan pernah menaruh secret di balik prefiks itu — pakai hanya untuk nilai yang aman menjadi publik.

Kalau sebuah secret sudah terkirim ke browser, cabut dan terbitkan ulang. Menghapusnya dari build berikutnya tidak membatalkan salinan yang sudah tersedot.