Ein geheimer Schlüssel in deinem Code

Der Code deiner Website läuft im Browser des Besuchers, deshalb muss der Browser ihn herunterladen. Jeder kann ihn öffnen und lesen.

Das ist für die meisten Code in Ordnung. Ein Problem wird es, wenn ein Geheimnis darin landet, etwa ein Schlüssel zu deinem Zahlungskonto, zu deiner Datenbank oder zu einem KI-Dienst.

Wie es passiert

Meist geschieht es nicht absichtlich. Ein Schlüssel wird beim Testen eingefügt und nie wieder entfernt. Eine Einstellung, die für den Server gedacht war, wird aus Versehen als öffentlich markiert. Ein Build-Werkzeug veröffentlicht Source Maps, die lesbare Version deines Codes, neben der echten Website.

Angreifer suchen automatisch auf Millionen Websites nach solchen Schlüsseln. Ein geleakter Schlüssel kann innerhalb von Stunden Rechnungen verursachen, Kundendaten lesen oder in deinem Namen E-Mails senden.

Was zu tun ist, wenn ein Scan einen findet

1. Behandle ihn als benutzt. Selbst wenn du ihn jetzt entfernst, hat ihn vielleicht schon jemand.
2. Ersetze ihn. Erstelle beim Dienst, der ihn ausgestellt hat, einen neuen Schlüssel und lösche den alten.
3. Verschiebe ihn auf den Server. Schlüssel gehören in die Servereinstellungen, nie in Code, der im Browser läuft.
4. Prüfe die Abrechnung und die Logs dieses Dienstes auf alles, was du nicht selbst veranlasst hast.

Manche Schlüssel sind absichtlich öffentlich, etwa ein Schlüssel für ein Zahlungsformular, der nur einen Checkout starten kann. Ein Scan sagt, welche Art er gefunden hat und wie sicher er sich ist.