API key esposte nel JavaScript lato client

Chiama le API di terze parti da una route server o dal backend, mai dal browser. Il browser parla con il tuo endpoint; il tuo endpoint custodisce la chiave.

// app/api/summarize/route.ts (server-only)
export async function POST(req: Request) {
  const { text } = await req.json();
  const r = await fetch("https://api.openai.com/v1/responses", {
    method: "POST",
    headers: { Authorization: `Bearer ${process.env.OPENAI_API_KEY}` },
    body: JSON.stringify({ model: "gpt-4o-mini", input: text }),
  });
  return Response.json(await r.json());
}

In Next.js solo le variabili con prefisso NEXT_PUBLIC_ vengono esposte al browser. Non mettere mai un secret dietro quel prefisso: usalo solo per valori che è sicuro rendere pubblici.

Se un secret è arrivato al browser, revocalo e riemettilo. Rimuoverlo dalla build successiva non invalida le copie già raccolte.