API keys expostas no JavaScript do cliente

Chame as APIs de terceiros a partir de uma rota de servidor ou backend, nunca do navegador. O navegador conversa com o seu endpoint; o seu endpoint guarda a chave.

// app/api/summarize/route.ts (server-only)
export async function POST(req: Request) {
  const { text } = await req.json();
  const r = await fetch("https://api.openai.com/v1/responses", {
    method: "POST",
    headers: { Authorization: `Bearer ${process.env.OPENAI_API_KEY}` },
    body: JSON.stringify({ model: "gpt-4o-mini", input: text }),
  });
  return Response.json(await r.json());
}

No Next.js, só as variáveis com o prefixo NEXT_PUBLIC_ são expostas ao navegador. Nunca coloque um segredo atrás desse prefixo — use-o apenas para valores que podem ser públicos sem risco.

Se um segredo foi enviado ao navegador, revogue-o e emita um novo. Removê-lo do próximo build não invalida as cópias que já foram coletadas.