ScanYourSite

Trouvez les clés d'API que votre site distribue

Tout ce qui se trouve dans votre frontend est téléchargé par chaque visiteur — y compris une clé collée là pour faire marcher une fonctionnalité. Nous analysons la page et les scripts qu'elle charge à la recherche de formats de clés secrètes connus, et vous montrons où elles se trouvent.

Gratuit, sans inscription. L'analyse de base n'envoie que les requêtes qu'un navigateur ordinaire enverrait.

Voir un rapport complet d'exemple

Les clés que nous reconnaissons

Vérifiez vous-même

Votre navigateur a déjà tous les fichiers qu'un inconnu obtiendrait. Voici comment les fouiller à la main.

  1. Ouvrez tout ce que la page a chargé

    Ouvrez votre site en ligne, puis DevTools → Sources (Chrome, Edge) ou Debugger (Firefox). Rechargez la page pour que chaque script soit listé.

  2. Cherchez les préfixes de clés dans tous les fichiers

    Cmd/Ctrl + Option/Alt + F cherche dans tous les fichiers chargés à la fois. Essayez chacun de ces préfixes ; une correspondance mérite un examen plus attentif.

    sk_live_      clé secrète Stripe
rk_live_      clé restreinte Stripe
sk-proj-      OpenAI
sk-ant-       Anthropic
AKIA          clé d'accès AWS
ghp_          jeton GitHub
github_pat_   jeton GitHub à granularité fine
xoxb-         jeton de bot Slack
SG.           SendGrid
service_role  Supabase (décodez le JWT)
sb_secret_    clé secrète Supabase
-----BEGIN    clé privée

  3. Vérifiez quelles variables votre build expose

    Les frameworks placent volontairement les variables portant ces préfixes dans le bundle du navigateur. Un secret placé sous l'un d'eux est public.

    NEXT_PUBLIC_   Next.js
VITE_          Vite, Lovable, Bolt
REACT_APP_     Create React App
PUBLIC_        Astro, SvelteKit
EXPO_PUBLIC_   Expo

  4. Vous en avez trouvé une ? Révoquez d'abord

    Partez du principe qu'elle a été copiée. Révoquez-la ou renouvelez-la dans le tableau de bord du fournisseur, puis déplacez l'appel dans une fonction serveur, redéployez et cherchez à nouveau.

Que faire d'une clé exposée

D'abord la révoquer, puis déplacer l'appel côté serveur. Le prompt du rapport dit exactement cela à votre IA, fichier par fichier.

Corrige ces problèmes sur shop.example.

1. Une clé d'API Anthropic (sk-ant-…x7Q) se trouve dans assets/chat-91b.js.
   Révoque-la dans la console Anthropic, déplace l'appel d'API dans un endpoint serveur et lis la clé depuis une variable d'environnement à cet endroit.

Une fois terminé, revérifie : https://scanyoursite.app/fr?check=shop.example

Les clés reviennent

Une modification faite par l'IA peut recoller la clé. Avec Pro, chaque nouveau déploiement est vérifié en quelques minutes à la recherche de clés.

Voir les offres

Questions

Stockez-vous les clés que vous trouvez ?

Non. Les rapports affichent les clés masquées — le type, les premiers et les derniers caractères, et le fichier.

Suffit-il de supprimer la clé du code ?

Non. Une fois qu'elle a été publique, partez du principe qu'elle a été copiée : révoquez-la chez le fournisseur et créez-en une nouvelle.

Analysez-vous mon dépôt ?

Non — le site en ligne. C'est ce que voient les attaquants.

Pour les vibe coders

Collez votre URL. Recevez la liste en une minute environ.

Chaque constat explique ce qu'il signifie pour vous et comment le corriger — ou vous donne un prompt que votre outil de code IA peut appliquer.

Gratuit, sans inscription. L'analyse de base n'envoie que les requêtes qu'un navigateur ordinaire enverrait.