Veloz Shield · Segredos

Suas chaves estão no bundle que qualquer visitante baixa.

service_role do Supabase, sk_live da Stripe, access keys da AWS, tokens do GitHub, chaves PEM e connection strings de Postgres. O Shield varre os assets estáticos do seu app e encontra credenciais que deveriam estar no backend.

Como o Shield detecta segredos no bundle

O scanner baixa os chunks JavaScript servidos publicamente e aplica padrões regex específicos para cada tipo de credencial. Nenhuma modificação no seu app, apenas leitura de assets que já são públicos.

SECRET-001 · probenão-destrutivo

# Detecta chaves Supabase service_role no bundle público.
# Se o grep casa, a chave está exposta para qualquer visitante.

curl -s https://seu-app.com/_next/static/chunks/main.js \
  | grep -oE 'eyJ[A-Za-z0-9_-]{40,}\.[A-Za-z0-9_-]+\.[A-Za-z0-9_-]+' \
  | while read jwt; do
      role=$(echo "$jwt" | cut -d. -f2 | base64 -d 2>/dev/null | grep -o '"role":"[^"]*"')
      echo "$role → $jwt" | head -c 80
      echo
    done