Guarda claves en el servidor, fuera de archivos públicos e historial. El navegador llama a un endpoint limitado con validación. Combina sesiones, límites por usuario y globales, tamaño de entrada y salida y concurrencia. Revisar Origin no detiene scripts; las cuotas compartidas limitan el gasto.
Qué revisar
- Rota claves expuestas y separa entornos.
- Aplica límites en el servidor.
- Supervisa errores sin registrar claves ni texto privado.