ScanYourSite

Encuentra las claves de API que tu sitio regala

Todo lo que hay en tu frontend lo descarga cada visitante — incluida una clave que pegaste para que una función funcionara. Analizamos la página y los scripts que carga en busca de formatos conocidos de claves secretas y te mostramos dónde están.

Gratis, sin registro. El análisis básico hace solo las peticiones que haría un navegador normal.

Ver un informe completo de ejemplo

Claves que reconocemos

Compruébalo tú mismo

Tu navegador ya tiene todos los archivos que recibiría un desconocido. Así puedes buscar en ellos a mano.

  1. Abre todo lo que cargó la página

    Abre tu sitio en producción y luego DevTools → Sources (Chrome, Edge) o Debugger (Firefox). Recarga para que aparezcan todos los scripts.

  2. Busca prefijos de claves en todos los archivos

    Cmd/Ctrl + Option/Alt + F busca en todos los archivos cargados a la vez. Prueba cada uno de estos; una coincidencia merece una mirada más atenta.

    sk_live_      clave secreta de Stripe
rk_live_      clave restringida de Stripe
sk-proj-      OpenAI
sk-ant-       Anthropic
AKIA          clave de acceso de AWS
ghp_          token de GitHub
github_pat_   token fine-grained de GitHub
xoxb-         token de bot de Slack
SG.           SendGrid
service_role  Supabase (decodifica el JWT)
sb_secret_    clave secreta de Supabase
-----BEGIN    clave privada

  3. Comprueba qué variables expone tu build

    Los frameworks meten a propósito las variables con estos prefijos en el bundle del navegador. Un secreto bajo cualquiera de ellos es público.

    NEXT_PUBLIC_   Next.js
VITE_          Vite, Lovable, Bolt
REACT_APP_     Create React App
PUBLIC_        Astro, SvelteKit
EXPO_PUBLIC_   Expo

  4. ¿Encontraste una? Primero revócala

    Da por hecho que ya la copiaron. Revócala o rótala en el panel del proveedor, luego mueve la llamada a una función de servidor, vuelve a desplegar y busca otra vez.

Qué hacer con una clave filtrada

Primero revocarla, luego mover la llamada al servidor. El prompt del informe le dice exactamente eso a tu IA, archivo por archivo.

Corrige estos problemas en shop.example.

1. Hay una clave de API de Anthropic (sk-ant-…x7Q) en assets/chat-91b.js.
   Revócala en la consola de Anthropic, mueve la llamada a la API a un endpoint de servidor y lee la clave allí desde una variable de entorno.

Al terminar, vuelve a revisar: https://scanyoursite.app/es?check=shop.example

Las claves vuelven

Un cambio hecho por la IA puede volver a pegar la clave. Con Pro, cada nuevo despliegue se revisa en busca de claves en minutos.

Ver planes

Preguntas

¿Se guardan las claves encontradas?

No. Los informes muestran las claves enmascaradas: el tipo, los primeros y últimos caracteres y el archivo.

¿Basta con borrar la clave del código?

No. Una vez que ha sido pública, da por hecho que la copiaron: revócala con el proveedor y crea una nueva.

¿Se analiza mi repositorio?

No, el sitio en producción. Eso es lo que ven los atacantes.

Para vibe coders

Pega tu URL. Tendrás la lista en un minuto, más o menos.

Cada hallazgo te dice qué significa para ti y cómo arreglarlo — o trae un prompt que tu herramienta de IA puede aplicar.

Gratis, sin registro. El análisis básico hace solo las peticiones que haría un navegador normal.