ScanYourSite

Encontre as chaves de API que seu site entrega de graça

Tudo o que está no seu frontend é baixado por cada visitante — inclusive uma chave que você colou para fazer uma função funcionar. Analisamos a página e os scripts que ela carrega em busca de formatos conhecidos de chaves secretas e mostramos onde elas estão.

Grátis, sem cadastro. A análise básica faz apenas as requisições que um navegador comum faria.

Ver um relatório completo de exemplo

Chaves que reconhecemos

Verifique você mesmo

Seu navegador já tem todos os arquivos que um estranho receberia. Veja como procurar neles na mão.

  1. Abra tudo o que a página carregou

    Abra seu site no ar e depois DevTools → Sources (Chrome, Edge) ou Debugger (Firefox). Recarregue para que todos os scripts apareçam na lista.

  2. Procure prefixos de chaves em todos os arquivos

    Cmd/Ctrl + Option/Alt + F procura em todos os arquivos carregados de uma vez. Teste cada um destes; um resultado merece um olhar mais atento.

    sk_live_      chave secreta do Stripe
rk_live_      chave restrita do Stripe
sk-proj-      OpenAI
sk-ant-       Anthropic
AKIA          chave de acesso da AWS
ghp_          token do GitHub
github_pat_   token fine-grained do GitHub
xoxb-         token de bot do Slack
SG.           SendGrid
service_role  Supabase (decodifique o JWT)
sb_secret_    chave secreta do Supabase
-----BEGIN    chave privada

  3. Veja quais variáveis o seu build expõe

    Os frameworks colocam de propósito as variáveis com estes prefixos no bundle do navegador. Um segredo em qualquer um deles é público.

    NEXT_PUBLIC_   Next.js
VITE_          Vite, Lovable, Bolt
REACT_APP_     Create React App
PUBLIC_        Astro, SvelteKit
EXPO_PUBLIC_   Expo

  4. Achou uma? Revogue primeiro

    Parta do princípio de que ela já foi copiada. Revogue-a ou gere uma nova no painel do provedor, depois mova a chamada para uma função de servidor, faça o deploy de novo e procure outra vez.

O que fazer com uma chave vazada

Primeiro revogue, depois mova a chamada para o servidor. O prompt do relatório diz exatamente isso à sua IA, arquivo por arquivo.

Corrija estes problemas em shop.example.

1. Há uma chave de API da Anthropic (sk-ant-…x7Q) em assets/chat-91b.js.
   Revogue-a no console da Anthropic, mova a chamada à API para um endpoint de servidor e leia a chave de uma variável de ambiente lá.

Ao terminar, verifique de novo: https://scanyoursite.app/pt?check=shop.example

Chaves voltam

Uma edição feita por IA pode colar a chave de volta. Com o Pro, cada novo deploy é verificado em busca de chaves em minutos.

Ver planos

Perguntas

Vocês guardam as chaves que encontram?

Não. Os relatórios mostram as chaves mascaradas — o tipo, os primeiros e os últimos caracteres e o arquivo.

Basta apagar a chave do código?

Não. Depois que ela ficou pública, considere que foi copiada: revogue-a no provedor e crie uma nova.

Vocês analisam meu repositório?

Não — o site no ar. É isso que os atacantes veem.

Para vibe coders

Cole sua URL. Receba a lista em cerca de um minuto.

Cada achado vem com o que ele significa para você e como corrigir — ou com um prompt que sua ferramenta de IA pode aplicar.

Grátis, sem cadastro. A análise básica faz apenas as requisições que um navegador comum faria.