Chave de API vazada no código: o erro número 1 dos apps feitos com IA

De todos os erros que um app feito com IA pode ter, esse é o mais comum e um dos mais perigosos: a chave de API vazada no código. Parece detalhe técnico, mas dá pra entender em dois minutos, e depois você nunca mais esquece de conferir.

O tamanho do problema

Pesquisadores da Escape, em 2026, vasculharam o código público de 5.600 aplicativos criados com IA e encontraram mais de 400 segredos expostos. Segredo aqui é senha, token, chave de acesso: a credencial que deveria ser secreta e estava à mostra pra qualquer um ler.

O que é uma chave de API, sem enrolação

Pense numa chave de API como a senha que o seu site usa pra conversar com outro serviço: o sistema de pagamento, o de envio de e-mail, o banco de dados. Com essa chave, o site faz coisas em seu nome. Quem tiver a chave faz as mesmas coisas, em seu nome também.

A chave é a senha que o seu site usa pra agir. Vazou a chave, vazou a permissão de agir como você.

Por que ela vaza

O problema é onde a chave fica guardada. O jeito certo é deixá-la só no servidor, longe dos olhos. O que a IA costuma fazer é escrever a chave direto no código do site, e esse código vai inteiro pro navegador de cada visitante.

Ou seja: o arquivo que faz o seu site funcionar, baixado por qualquer pessoa que abre a página, carrega a senha junto. Não precisa invadir nada. Basta abrir as ferramentas do navegador e procurar. É por isso que o erro é tão comum: ele acontece sozinho, sem ninguém perceber.

Como saber se o seu site tem

• A chave aparece no código que o navegador baixa, não fica só no servidor.
• Costuma ter formato reconhecível: textos longos começando por sk_, pk_, AIza, e por aí vai.
• Um exame de fora encontra isso lendo o que o seu site já entrega, sem precisar de acesso nenhum.

Se você achar uma chave exposta, a correção é dupla: tirar a chave do código e gerar uma nova (a antiga, já vista, deve ser considerada queimada). O raio-X do Vigil procura exatamente esse tipo de segredo no seu site. Cole o endereço e descubra em menos de um minuto, de graça.