Schutz von API-Schlüsseln und Secrets in Frontend-Anwendungen

Alles, was an den Browser ausgeliefert wird, ist lesbar. Minifizierung, Verschleierung und Präfixe für Umgebungsvariablen schützen keine Secrets. Sobald ein Wert im Client-Bundle landet, kann ihn ein Angreifer einfach über die DevTools auslesen. Wer das als feste Rahmenbedingung akzeptiert, gestaltet den Zugriff auf APIs von Grund auf anders.

Der zuverlässigste Ansatz: Das Secret niemals an den Client senden. Leite alle Aufrufe von Drittanbieter-APIs über dein eigenes Backend, das das Secret serverseitig verwahrt.