Prüfregel · RSC-SEC-029
Google API-Schlüssel im Client
Erfasst Schlüssel im Format `AIza…` im ausgelieferten Code — bei Maps und Firebase vorgesehen, riskant ohne Domain-Beschränkung.
Warum das zählt
Google-Browser-Schlüssel gehören in das Frontend — Maps und Firebase funktionieren ohne sie nicht. Ein Fund ist deshalb kein Leck, und wir melden ihn ausdrücklich nicht als Geheimschlüssel.
Das Risiko liegt in der Beschränkung. Ein unbeschränkter Schlüssel lässt sich von jeder fremden Seite aus weiterverwenden; abgerechnet wird beim Inhaber des Projekts. Bei Maps-APIs ist das ein reales Kostenrisiko, das erst mit der Rechnung auffällt.
Von außen ist die Beschränkung nicht prüfbar, deshalb steht hier eine Aufforderung und kein Urteil: In der Google-Cloud-Konsole „Anwendungseinschränkungen“ auf HTTP-Referrer setzen und die API-Auswahl auf das Nötige begrenzen.
Prüfstufe
So behebt ihr es
Schlüssel in der Google-Cloud-Konsole auf die eigene Domain (HTTP-Referrer) und die benötigten APIs beschränken.