Die Secrets, die deine Cursor- oder Lovable-App im Browser preisgibt

Wenn du eine KI bittest, "meine App mit Stripe/OpenAI/Supabase zu verbinden", legt sie den Schlüssel oft direkt in den Frontend-Code. Das Problem: alles, was im Browser ankommt, ist öffentlich. Jeder kann es lesen.

So sieht es ein Angreifer

Öffne die DevTools (F12) → Tab "Network" oder "Sources" und suche nach Zeichenketten wie sk_live_, AKIA oder eyJ.... Wenn dein geheimer Schlüssel dort steht, hat er ihn schon.

Welche Schlüssel gefährlich sind

• Geheime Schlüssel (Stripe sk_live, OpenAI, AWS): dürfen den Server niemals verlassen.
• Die service_role von Supabase: sie umgeht die gesamte Sicherheit deiner Datenbank. Niemals ins Frontend.
• Access-Tokens, die in localStorage gespeichert sind: mit einem simplen XSS zu klauen.

Die goldene Regel

Geheime Schlüssel leben auf dem Server (Umgebungsvariablen, Serverless-Funktionen). Das Frontend nutzt nur öffentliche Schlüssel, die dafür gedacht sind (wie der anon-Schlüssel von Supabase, geschützt durch RLS).

So prüfst du das

Scanaris scannt das JavaScript deiner Website und warnt dich, wenn es exponierte API-Schlüssel oder Secrets entdeckt — bevor es jemand anderes tut.