63Секрети і ключі

Якщо ти пропустиш усе інше - прочитай це.

Ключ доступу - це пароль від якогось сервісу. Від твого ШІ, від бази, від платежів. Той, у кого він є, може робити все те саме, що й ти. Зокрема витрачати твої гроші.

Головне правило: ключі ніколи не лежать у коді. Вони живуть в окремому файлі, який не потрапляє в історію і не їде в інтернет. Скажи про це ШІ на самому початку проєкту - він усе оформить правильно сам.

Чому це настільки серйозно. Інтернетом цілодобово ходять боти, які шукають викладені ключі. Не «колись помітять» - знаходять за хвилини. Публічний репозиторій з ключем усередині спустошує рахунок швидше, ніж ти встигаєш заварити чай.

І це не страшилки. На початку 2026-го Moltbook, соцмережа для ШІ-агентів, зібрана з допомогою ШІ, через три дні після запуску виставила назовні півтора мільйона ключів доступу, тридцять п'ять тисяч поштових адрес і особисте листування. Причина - одне пропущене налаштування бази даних.

І це не поодинокий випадок. У червні 2026-го перевірили понад тисячу сайтів, зібраних у Lovable, Bolt, v0 і схожих конструкторах: хоч одна діра знайшлася майже в усіх, серйозна - майже в кожного третього, а в 172 випадках будь-який перехожий міг стирати чужі дані. А за літнім звітом Veracode майже в половині задач ШІ пише код з відомою вразливістю, і за рік краще не стало: моделі розумнішають, але безпечнішими не стають.

Висновок не «не користуйся ШІ». Висновок: ШІ не думає про безпеку сам, якщо його не попросити. Проси. Прямо: «перевір, чи немає тут дірок», «перевір, що секрети не потрапляють у репозиторій». Він уміє, просто не робить за замовчуванням.

І в мене був свій випадок: ключ доступу одного разу виявився прописаний там, де не мав бути. Розбирався з наслідками кілька днів. П'ять хвилин уваги на початку коштують дешевше.