Claves de API y secretos en apps creadas con IA: lo que un envoltorio nativo no oculta y cómo revisar el código de cualquier agente

// MAL: clave service_role en el navegador. Se salta todas las políticas RLS.
const admin = createClient(SUPABASE_URL, import.meta.env.VITE_SUPABASE_SERVICE_ROLE_KEY);

// MAL: clave secreta de Stripe en un fetch desde el cliente
await fetch("https://api.stripe.com/v1/checkout/sessions", {
  method: "POST",
  headers: { Authorization: "Bearer " + import.meta.env.VITE_STRIPE_SECRET_KEY }
});

// MAL: enviar push desde el navegador con la App API key de OneSignal
await fetch("https://api.onesignal.com/notifications", {
  method: "POST",
  headers: { Authorization: "Key " + ONESIGNAL_APP_API_KEY, "Content-Type": "application/json" },
  body: JSON.stringify({ app_id: ONESIGNAL_APP_ID, contents: { en: "Hi" } })
});

// BIEN: el cliente llama a tu endpoint con el token de sesión del usuario
const res = await fetch("/api/checkout", {
  method: "POST",
  headers: { Authorization: "Bearer " + session.access_token, "Content-Type": "application/json" },
  body: JSON.stringify({ priceId: "price_basic_monthly" })
});

// BIEN: en el servidor (ruta de API, Supabase Edge Function, Cloud Function)
// 1. verifica el token de sesión y obtén de él el ID de usuario, nunca del cuerpo
// 2. lee STRIPE_SECRET_KEY / ONESIGNAL_APP_API_KEY / SUPABASE_SECRET_KEY del entorno del servidor
// 3. llama al proveedor y devuelve solo lo que necesita el cliente

-- Supabase SQL: activa RLS y deja que cada usuario vea y cambie solo su propia fila
alter table public.profiles enable row level security;

create policy "profiles: read own" on public.profiles
  for select to authenticated
  using ((select auth.uid()) = id);

create policy "profiles: update own" on public.profiles
  for update to authenticated
  using ((select auth.uid()) = id)
  with check ((select auth.uid()) = id);

-- Reglas de Firestore, misma idea:
-- match /profiles/{uid} {
--   allow read, write: if request.auth != null && request.auth.uid == uid;
-- }

# 1. Compila el bundle de producción
npm run build

# 2. Busca en los archivos publicados cadenas que parezcan secretos
grep -rEn "sk_live_|sk_test_|rk_live_|whsec_|sb_secret_|os_v2_app_|BEGIN (RSA )?PRIVATE KEY|AIza[0-9A-Za-z_-]{35}" dist/ .next/static/ build/ 2>/dev/null

# 3. Las claves antiguas de Supabase son JWT: decodifica cada una y mira "role"
#    "anon" es lo esperado; "service_role" significa que se publicó una clave secreta
grep -rhoE "eyJ[A-Za-z0-9_-]+\.eyJ[A-Za-z0-9_-]+\.[A-Za-z0-9_-]+" dist/ 2>/dev/null | sort -u | while read -r t; do
  echo "$t" | cut -d. -f2 | tr '_-' '/+' | base64 -d 2>/dev/null; echo
done

# 4. Proyectos nativos e historial de Git
grep -rEn "sk_live_|sb_secret_|os_v2_app_|service_role" ios/ android/ 2>/dev/null
git log -p --all | grep -En "sk_live_|sb_secret_|os_v2_app_|SERVICE_ROLE" | head -20