Как безопасно хранить API-ключи

Где хранить ключ

Лучшее место для API-ключа — переменные окружения на сервере или секрет-хранилище. Клиентский код, публичный репозиторий и скриншоты настроек для этого не подходят.

Если ключ нужен локально, используйте `.env` и убедитесь, что файл добавлен в `.gitignore`.

Как использовать ключ в приложении

Запросы к AI API лучше отправлять с backend-части. Frontend должен обращаться к вашему серверу, а сервер уже добавляет Authorization-заголовок.

Так проще контролировать лимиты, логировать ошибки и не раскрывать ключ пользователям.

• не коммитьте ключ
• не отправляйте ключ в браузер
• ограничивайте доступ к production env
• перевыпускайте ключ при утечке

Что делать при компрометации

Если ключ попал в общий доступ, остановите его использование и обратитесь в поддержку для перевыпуска. Открытое значение ключа не хранится, поэтому восстановить его нельзя.

После перевыпуска обновите секреты на сервере и проверьте, что старый ключ больше нигде не используется.