Собрали в Bolt. Можно ли делиться ссылкой?
В Bolt легко вызвать OpenAI, Stripe или Supabase прямо со страницы — и так же легко отправить вместе с этим секретный ключ. Вставьте адрес опубликованного приложения на Bolt и посмотрите, что в нём может найти посторонний.
Бесплатно, без регистрации. Базовая проверка делает только те запросы, которые выполняет обычный браузер.
Что мы проверяем в приложении на Bolt
- КритичноБесплатная проверка
Секретный ключ OpenAI, Anthropic или Stripe во фронтенде
Ключ, который вызывается из браузера, может скопировать кто угодно. Мы ищем известные форматы ключей на странице и в её скриптах и показываем найденное замаскированным.
- КритичноPro
Таблицы Supabase, открытые для всех
Если ваше приложение на Bolt использует Supabase, после подтверждения домена мы проверяем, читаются ли его таблицы публичным ключом, — считаем строки, никогда их не читая.
- СреднийБесплатная проверка
Заголовки безопасности, которые хостинг не добавил
Netlify и похожие хостинги отдают то, что вы настроили. Без Content-Security-Policy и HSTS сайт проще атаковать и подделать.
- СреднийБесплатная проверка
Сломанные ресурсы и ошибки в консоли
Скрипты, которые не загружаются, и ошибки JavaScript на рабочей странице — то, что работает в превью и ломается в продакшене.
Промпт, который Bolt поймёт
Отчёт даёт готовый промпт: проблема, где она и как проверить исправление. Вставьте его в Bolt, и пусть он внесёт изменения.
Исправь эти проблемы на my-bolt-app.netlify.app. 1. API-ключ OpenAI (sk-…a3F9) лежит в assets/index-c41e.js. Отзови его в панели OpenAI, перенеси вызов в serverless-функцию и читай ключ там из переменной окружения. 2. Нет заголовка Strict-Transport-Security. Добавь его в netlify.toml для всех путей. Когда закончишь, проверь заново: https://scanyoursite.app/ru?check=my-bolt-app.netlify.app
Bolt переписывает — мы перепроверяем
На Pro мы замечаем каждый новый деплой и проверяем новую версию за несколько минут: работает ли, отрисовывается ли, не проскочил ли ключ обратно в скрипт. Мы пишем, только когда сломалось что-то новое.
Посмотреть тарифыВопросы
Вам нужен доступ к моему проекту в Bolt?
Нет. Мы проверяем опубликованный сайт снаружи, как посетитель. Ничего не нужно устанавливать, никакой аккаунт подключать не надо.
Нашёлся ключ. Что теперь?
Сначала отзовите его у провайдера — считайте, что его уже скопировали. Потом перенесите вызов в серверную функцию. Промпт из отчёта проведёт ваш ИИ через всё это.
Работает ли это с Firebase?
Поиск ключей работает для любого фронтенда. Проверка на уровне таблиц — только для Supabase.
Вставьте адрес. Список будет примерно через минуту.
К каждой находке — что она значит для вас и как её исправить. Или промпт, который применит ваш ИИ-инструмент для кода.
Бесплатно, без регистрации. Базовая проверка делает только те запросы, которые выполняет обычный браузер.