Puse el prefijo VITE_ o NEXT_PUBLIC_ a un secreto y se publicó

Arréglalo tú, gratis

Primero averigua qué se ha publicado exactamente, luego decide, y solo al final toca. El escáner de arriba te contesta a la primera parte en treinta segundos, pero puedes comprobarlo tú mismo a mano.

1. 01Abre tu app publicada, pulsa F12 y ve a la pestaña Network. Recarga, filtra por ficheros JS y abre el más grande. Busca dentro con el buscador cadenas como sk_live, sk-, service_role o AKIA. Si aparece alguna, está publicada.
2. 02Entra en el panel de tu hosting y repasa la lista entera de variables de entorno. Marca todas las que lleven prefijo y contengan algo que no sea una dirección o una clave pública.
3. 03Por cada una de esas, ve al servicio que la emitió y revoca o regenera la credencial. Este paso no es opcional ni se puede posponer: mientras la clave siga siendo válida, sigue publicada en internet aunque tú ya la hayas borrado del panel.
4. 04Vuelve a dar de alta cada credencial sin el prefijo. Así deja de llegar al navegador, y con ella dejará de funcionar el código que la usaba desde ahí: eso es lo esperado, y significa que esa operación tiene que mudarse a un servidor.
5. 05Despliega de nuevo y repite la comprobación del primer paso sobre el bundle nuevo. Si la cadena ya no aparece, ha salido del navegador.
6. 06Por último, entra en cada servicio afectado y mira el consumo o la actividad de los últimos días. En las claves de IA y de pago esto es lo que te dice si alguien llegó a usarla, y es la parte que más gente se salta.

Si al quitar el prefijo se rompe una parte de la app, no vuelvas a ponerlo. Que se rompa es la prueba de que esa operación se estaba haciendo desde el navegador con una credencial que no debía estar ahí.

Y esto para la parte de código

Pégaselo tal cual al agente que escribió tu app. Está redactado para que te diga lo que ha hecho, no solo para que lo haga.

En mi app hay variables de entorno con prefijo VITE_ o NEXT_PUBLIC_ que contienen secretos, y por tanto se están publicando en el código del navegador.

Necesito que hagas esto:
1. Lista todas las variables de entorno que usa el proyecto, separadas en dos grupos: las que llegan al navegador por llevar prefijo y las que no. Dime para qué se usa cada una.
2. Señálame cuáles del primer grupo son credenciales que no deberían ser públicas. No me pegues sus valores.
3. Por cada una de esas, dime exactamente qué parte del código la usa y qué hace, y propón cómo mover esa operación a una función de servidor para que la credencial deje de necesitarse en el navegador.
4. Prepara el código para leer esas credenciales desde variables sin prefijo, y deja escrito en el fichero .env.example qué variable va en cada sitio, con un comentario que diga cuáles no deben llevar prefijo nunca.

No revoques nada tú ni me digas que basta con renombrar la variable: las claves ya publicadas las roto yo en cada servicio.