Clés API et secrets dans les apps créées par IA : ce qu'un wrapper natif ne cache pas, et comment relire le code de n'importe quel agent

// FAUX : clé service_role dans le navigateur. Contourne toutes les politiques RLS.
const admin = createClient(SUPABASE_URL, import.meta.env.VITE_SUPABASE_SERVICE_ROLE_KEY);

// FAUX : clé secrète Stripe dans un fetch côté client
await fetch("https://api.stripe.com/v1/checkout/sessions", {
  method: "POST",
  headers: { Authorization: "Bearer " + import.meta.env.VITE_STRIPE_SECRET_KEY }
});

// FAUX : envoyer des push depuis le navigateur avec la clé App API de OneSignal
await fetch("https://api.onesignal.com/notifications", {
  method: "POST",
  headers: { Authorization: "Key " + ONESIGNAL_APP_API_KEY, "Content-Type": "application/json" },
  body: JSON.stringify({ app_id: ONESIGNAL_APP_ID, contents: { en: "Hi" } })
});

// CORRECT : le client appelle votre endpoint avec le jeton de session de l'utilisateur
const res = await fetch("/api/checkout", {
  method: "POST",
  headers: { Authorization: "Bearer " + session.access_token, "Content-Type": "application/json" },
  body: JSON.stringify({ priceId: "price_basic_monthly" })
});

// CORRECT : sur le serveur (route API, Supabase Edge Function, Cloud Function)
// 1. vérifier le jeton de session et en déduire l'ID utilisateur, jamais à partir du body
// 2. lire STRIPE_SECRET_KEY / ONESIGNAL_APP_API_KEY / SUPABASE_SECRET_KEY dans l'environnement serveur
// 3. appeler le fournisseur, ne renvoyer que ce dont le client a besoin

-- Supabase SQL : activer RLS et ne laisser chaque utilisateur voir et modifier que sa propre ligne
alter table public.profiles enable row level security;

create policy "profiles: read own" on public.profiles
  for select to authenticated
  using ((select auth.uid()) = id);

create policy "profiles: update own" on public.profiles
  for update to authenticated
  using ((select auth.uid()) = id)
  with check ((select auth.uid()) = id);

-- Règles Firestore, même principe :
-- match /profiles/{uid} {
--   allow read, write: if request.auth != null && request.auth.uid == uid;
-- }

# 1. Générer le bundle de production
npm run build

# 2. Chercher dans les fichiers livrés des chaînes qui ressemblent à des secrets
grep -rEn "sk_live_|sk_test_|rk_live_|whsec_|sb_secret_|os_v2_app_|BEGIN (RSA )?PRIVATE KEY|AIza[0-9A-Za-z_-]{35}" dist/ .next/static/ build/ 2>/dev/null

# 3. Les anciennes clés Supabase sont des JWT : décoder chacune et regarder "role"
#    "anon" est attendu, "service_role" signifie qu'une clé secrète a été livrée
grep -rhoE "eyJ[A-Za-z0-9_-]+\.eyJ[A-Za-z0-9_-]+\.[A-Za-z0-9_-]+" dist/ 2>/dev/null | sort -u | while read -r t; do
  echo "$t" | cut -d. -f2 | tr '_-' '/+' | base64 -d 2>/dev/null; echo
done

# 4. Projets natifs et historique git
grep -rEn "sk_live_|sb_secret_|os_v2_app_|service_role" ios/ android/ 2>/dev/null
git log -p --all | grep -En "sk_live_|sb_secret_|os_v2_app_|SERVICE_ROLE" | head -20