Vazou uma chave?
Atualizado em 6 de novembro de 2026 · Todos os guias
Chave de API exposta é usada rápido: para gastar seus créditos de IA, ler seu banco ou mexer em pagamentos. Apagar a chave do código não resolve, porque ela continua válida e pode já ter sido copiada. A ordem certa é esta.
1. Revogue ou troque a chave primeiro
A documentação do GitHub é direta: o primeiro passo é revogar ou trocar o segredo. Entre no painel do serviço (OpenAI, Stripe, Supabase, Resend…), apague a chave exposta e crie uma nova. Uma chave revogada não serve para mais nada, mesmo que continue no histórico.
2. Coloque a chave nova só no servidor
Cadastre a chave nova como variável de ambiente da hospedagem (Vercel, Netlify, Supabase Edge Functions) e use-a só em código que roda no servidor. Nunca com prefixo VITE_ ou NEXT_PUBLIC_: esses vão para o navegador. Veja por quê.
3. Confira o estrago
- Veja o uso e a fatura do serviço desde a data em que a chave ficou pública.
- Defina um teto de gasto mensal no provedor de IA, se ele oferecer.
- No Stripe ou no banco, procure operações que você não reconhece.
4. Limpe o código e o histórico
Remova a chave do código. Se ela foi para o GitHub, limpar o histórico ajuda, mas só depois do passo 1: cópias, forks e caches podem continuar existindo.
5. Confirme que sumiu
Rode um scan de novo para conferir que nenhuma chave aparece no JavaScript público nem em arquivos como .env e mapas de código-fonte.
O scan grátis do Scanblind testa chaves expostas, arquivos públicos, cabeçalhos, e-mail e-mail, subdomínios e outros riscos comuns, sem login, e entrega o prompt pronto para a sua IA corrigir.
Escanear meu app grátis