Protección de claves de API y secretos en aplicaciones frontend

Todo lo que se envía al navegador puede leerse. La minificación, la ofuscación y los prefijos de variables de entorno no protegen los secretos. Si un valor llega al bundle del cliente, un atacante puede extraerlo simplemente abriendo las DevTools. Asumir esto como una limitación fundamental cambia por completo la forma en que diseñas el acceso a tus API.

El enfoque más fiable es no enviar nunca el secreto al cliente. Todas las llamadas a APIs de terceros deben pasar por tu propio backend, que es quien conserva el secreto del lado del servidor.