AnabisolutionsMengelola kunci API dan rahasia dengan benar di proyek vibe coding
Hampir setiap aplikasi modern memakai kunci API: untuk AI, pembayaran, email, atau basis data. Dalam vibe coding, AI kadang menaruh kunci langsung di kode demi kemudahan, dan pemula tidak menyadari bahayanya. Kunci yang bocor dapat dipakai orang lain atas biaya Anda atau untuk mengakses data pelanggan. Mengelolanya dengan benar adalah kebiasaan dasar yang wajib dimiliki.
Apa itu rahasia dan mengapa berbahaya jika bocor
Rahasia mencakup kunci API, token akses, kata sandi basis data, dan kunci penandatanganan. Siapa pun yang memegangnya bisa bertindak atas nama aplikasi Anda, termasuk menghabiskan kuota berbayar atau membaca data pengguna.
Bot otomatis memindai repositori publik tanpa henti, sehingga kunci yang bocor sering disalahgunakan dalam hitungan menit.
Gunakan variabel lingkungan
Simpan rahasia dalam berkas lingkungan lokal seperti .env, dan baca melalui variabel lingkungan di kode. Pastikan berkas itu masuk daftar abaikan Git agar tidak pernah ikut terunggah.
Di hosting, atur rahasia melalui pengaturan variabel lingkungan platform, bukan lewat kode.
Pisahkan kunci publik dan rahasia
Beberapa kunci memang dirancang untuk publik, tetapi banyak yang tidak. Perhatikan perbedaannya:
- Kunci publik atau anon: boleh di browser, tetapi tetap dibatasi izin.
- Kunci rahasia atau service: hanya di server.
- Kunci pembayaran dan AI: selalu di server.
- Jangan menaruh kunci rahasia pada variabel yang diawali penanda publik.
Anggap kunci yang pernah bocor sudah tidak aman
Bila kunci sempat terunggah ke tempat publik, segera cabut dan buat yang baru.
Panggil layanan lewat server Anda
Bila fitur butuh kunci rahasia, buat endpoint di server yang memanggil layanan tersebut, lalu panggil endpoint itu dari browser. Dengan begitu kunci tidak pernah sampai ke sisi pengguna.
Tambahkan pembatasan laju dan autentikasi pada endpoint agar tidak disalahgunakan.
Batasi izin dan pasang peringatan
Buat kunci dengan izin sekecil mungkin, batasi berdasarkan domain atau alamat IP bila memungkinkan, dan atur batas pengeluaran di dasbor penyedia. Aktifkan peringatan untuk lonjakan penggunaan.
Langkah-langkah ini membatasi kerusakan bila suatu saat kunci tetap bocor.
Jika kunci sudah terlanjur bocor
Segera cabut kunci lama dan buat yang baru, lalu perbarui di semua lingkungan. Periksa log penggunaan untuk melihat apakah ada aktivitas mencurigakan. Menghapus berkas dari riwayat Git saja tidak cukup karena kunci mungkin sudah tersalin.
Setelah itu, perbaiki penyebabnya agar kejadian serupa tidak terulang.
Pertanyaan yang sering muncul
Ya, tanpa komitmen. Kami balas dalam 1×24 jam kerja.
Tentang Tim AnabisolutionsStudio digital dari Pekanbaru yang mengerjakan website, aplikasi, dan sistem untuk klien di Riau dan sekitarnya.
