Claves: dónde viven y cómo se filtran

Una clave de API, un token o una contraseña de base de datos es una llave. Si cae en manos ajenas, esa persona puede actuar como tu programa: gastar tu dinero, leer tus datos o borrarlos. Un secreto es justamente un dato que nadie fuera del servidor debería poder ver.

Las claves se filtran por descuidos: se escriben en el código y se suben a un repositorio público, se pegan en un chat, aparecen en una captura de pantalla, en un registro de errores o hasta en la dirección de una web. Hay robots que revisan los sitios de código público todo el día buscándolas.

Dónde sí y dónde no

Mal lugar: escrita en el código, en el JavaScript de la página, en un chat del equipo, en un comentario "temporal" o en una captura. Buen lugar: en una variable de entorno o secreto del servidor, en un gestor de secretos, o en un archivo .env que esté en el .gitignore para que git nunca lo suba.

// MAL: la clave escrita en el código
const CLAVE = "sk_live_FALSA_123456";

// BIEN: la clave llega desde afuera cuando arranca el programa
const CLAVE = process.env.CLAVE_PAGOS;