Separa la configuración pública de los secretos
Una URL pública de API o un indicador de función puede ser seguro en el código del navegador; contraseñas, tokens privados y claves de firma no. Los visitantes pueden inspeccionar el JavaScript que reciben.
Usa la configuración de entorno documentada por la plataforma para secretos del servidor y mantén separados los valores de desarrollo, vista previa y producción. No subas credenciales reales al repositorio, registros de compilación ni archivos de ejemplo.
Rota y verifica con cuidado
Si se expone un secreto o cambia el acceso de un integrante, sustituye la credencial en el servicio emisor y actualiza la configuración del hosting. Puede ser necesario volver a desplegar o reiniciar el proceso; sigue el comportamiento de la plataforma.
Después comprueba la aplicación sin imprimir el secreto en páginas o registros. Verifica las integraciones, elimina valores obsoletos y revisa periódicamente el acceso a la configuración de despliegue.