# Una clave secreta en el código de tu sitio

Por qué cualquiera puede leer una contraseña o clave que acaba en el código público de tu sitio, y qué hacer cuando pasa.

El código de tu sitio se ejecuta en el navegador del visitante, así que el navegador del visitante tiene que descargarlo. Cualquiera puede abrirlo y leerlo.

Eso no es un problema para la mayoría del código. Sí lo es cuando acaba en él un **secreto**, como una clave de tu cuenta de pagos, de tu base de datos o de un servicio de IA.

## Cómo pasa

Rara vez es a propósito. Una clave se pega durante una prueba y nunca se quita. Un ajuste pensado para el servidor se marca como público por error. Una herramienta de compilación publica los **mapas de código fuente**, la versión legible de tu código, junto al sitio real.

Los atacantes buscan estas claves de forma automática, en millones de sitios. Una clave filtrada puede disparar la factura, leer datos de clientes o enviar correos en tu nombre en cuestión de horas.

## Qué hacer cuando un escaneo encuentra una clave

1. **Considérala usada.** Aunque la quites ahora, alguien puede tenerla ya.
2. **Sustitúyela.** Crea una clave nueva con el servicio que la emitió y borra la antigua.
3. **Muévela al servidor.** Las claves van en los ajustes del servidor, nunca en código que se ejecuta en el navegador.
4. **Revisa la facturación y los registros** de ese servicio por si hay algo que no hiciste tú.

Algunas claves están pensadas para ser públicas, como la clave de un formulario de pagos que solo puede iniciar un cobro. Un escaneo indica qué tipo encontró y con cuánta seguridad.

> **Careful**
>
> Sustituir la clave importa más que borrarla de tu código. Borrarla solo evita nuevas copias.

> **Try it**
>
> Abre [tus cosas por corregir](/app/findings) y busca cualquier cosa sobre claves o secretos.