La clave service_role de Supabase está en el código público

Arréglalo tú, gratis

Aquí el orden importa más que la prisa, y es la razón por la que mucha gente empeora las cosas: si revocas la clave antes de tener el reemplazo colocado, tu app se cae; si despliegas antes de revocar, la clave sigue siendo válida un rato más. Este es el orden que no rompe nada.

1. 01Primero mira, no toques. En Supabase, entra en Logs y revisa la actividad de la API de los últimos días buscando picos raros o consultas desde sitios que no reconoces. Esto se hace antes de nada, porque algunos de los pasos siguientes generan ruido en esos mismos registros.
2. 02Averigua si esa clave la está usando algo legítimo en un servidor tuyo, aparte del navegador. Si la usa alguna función o algún proceso de fondo, tendrás que actualizarlos a la vez o se caerán con el resto.
3. 03En Project Settings y luego API Keys, genera una clave de servicio nueva sin borrar todavía la vieja, si tu proyecto te permite tener las dos a la vez. Coloca la nueva en las variables de entorno de tu servidor, sin ningún prefijo de los que publican al navegador.
4. 04Ahora sí: quita la clave del código del navegador y despliega. Comprueba que la app sigue funcionando; si algo deja de funcionar aquí, ese algo era precisamente lo que se estaba saltando la seguridad y hay que resolverlo con una política, no devolviendo la llave al navegador.
5. 05Revoca la clave antigua en Supabase. Desde este momento, la copia que tuviera cualquiera deja de servir.
6. 06Vuelve a Logs y comprueba que no hay actividad nueva rechazada que venga de la clave vieja. Si la hay, no es una anécdota: alguien la tenía.

Si tu proyecto usa el sistema antiguo de claves y no te deja tener dos activas a la vez, el orden cambia: hay que preparar el despliegue de antemano y rotar y desplegar casi seguidos, asumiendo unos minutos de caída. Ese es el caso en el que más gente se atasca.

Y esto para la parte de código

Pégaselo tal cual al agente que escribió tu app. Está redactado para que te diga lo que ha hecho, no solo para que lo haga.

En mi app ha acabado publicada la clave service_role de Supabase en el código que llega al navegador.

Necesito que hagas esto, y en este orden:
1. Búscala en todo el proyecto y dime en qué ficheros aparece y con qué nombre de variable, sin pegarme la clave entera en la respuesta.
2. Por cada uso, explícame qué está haciendo ahí y por qué hacía falta saltarse las políticas de seguridad. Esto es lo importante: quiero entender qué operación no funcionaba con la clave pública.
3. Propón para cada uno de esos usos una alternativa que no necesite la llave maestra en el navegador: o una política de seguridad por filas que permita esa operación concreta, o mover esa operación a una función de servidor.
4. Deja el código preparado para leer la clave nueva desde una variable de entorno de servidor, sin prefijo VITE_ ni NEXT_PUBLIC_ bajo ningún concepto.

No revoques ni cambies ninguna clave tú, y no me digas que basta con borrar la línea: la clave ya es pública y la rotación la hago yo en el panel, en un orden concreto.