Chaves e segredos
Aula 6 de 26 do curso “Vibe coding”. Grátis, com animações e teste.
O que é uma chave de API
API é o jeito como o seu programa conversa com o serviço de outra empresa, como um modelo de IA. A chave de API é a senha dessa conversa. Com ela o serviço sabe que o pedido veio de você e, se for pago, cobra da sua conta. A pegadinha: tudo o que está no código da página qualquer visitante vê em “Exibir código-fonte”.
Front-end e servidor
Front-end é tudo o que carrega no navegador do visitante: a página, os botões e o código deles. Qualquer um pode ler. O servidor (back-end) é um computador na internet onde seu programa roda. O visitante não vê o código dele. Daí a regra: segredos vivem só no servidor. O navegador pede ao servidor, o servidor chama o serviço com a chave e devolve só o resultado.
Nunca no front-end
Chave no código da página ou num repositório público é achada rápido por bots. Repositório é a pasta do projeto com todo o histórico de mudanças, por exemplo no GitHub. Público quer dizer que a internet inteira vê. Bots varrem esses lugares automaticamente, e você paga pelos pedidos dos outros. Por isso o servidor faz os pedidos com a chave, e o navegador só recebe o resultado.
O Git lembra de tudo
Git é um programa que guarda o histórico de versões de um projeto. Cada salvamento nele se chama commit. A pegadinha: o Git lembra de tudo. Se uma chave entrou uma vez num commit, ela fica no histórico mesmo que você apague do arquivo depois. Por isso o arquivo com chaves nunca deve entrar no Git. Como fazer isso, no próximo slide.
Onde guardar as chaves
No seu computador, as chaves ficam num arquivo .env: um arquivo de texto simples com configurações. O nome dele vai no .gitignore, a lista de arquivos que o Git deve ignorar. Assim o .env não entra no Git. Na hospedagem, ou seja, o serviço onde seu site fica, as chaves vão na seção de segredos. Vazou uma chave? Revogue na hora no painel do serviço e crie outra.
Teste-se
- Onde uma chave de API pode ficar?
Resposta certa: Nos segredos da hospedagem ou no .env. A chave nunca deve chegar ao navegador nem ao Git. Escondida no código da página, ela continua visível em “Exibir código-fonte”. - Por que colocar o .env no .gitignore?
Resposta certa: Para as chaves do .env não entrarem no Git. O .gitignore diz ao Git: não salve este arquivo. Assim as chaves ficam fora do histórico do projeto. - Uma chave vazou sem querer. Primeiro passo?
Resposta certa: Revogar a chave e criar uma nova. A chave pode já ter sido copiada, e apagar ou esconder não desfaz isso. Chave revogada para de funcionar para todo mundo.