AI 챗봇들에게 '프론트엔드에 API 키를 넣었는데 사용자 3명뿐이라 괜찮을까요?'라고 물어본 결과

사용자 수는 애초에 잘못된 변수임. 스크래퍼들은 네 앱에 사용자가 몇 명인지 신경 안 써. 걔들은 공개된 건 뭐든 긁어가고 키처럼 생긴 문자열은 다 테스트해보거든, 보통 몇 시간 내로 말이야. 위험한 건 네 사용자 3명이 키를 유출하는 게 아니라, 네 사용자 3명이 잠든 새벽 3시에 봇이 네 API 키로 요금 폭탄을 만드는 거야.

실무적인 조언을 좀 하자면: API 호출을 서버 라우트나 엣지 함수로 옮겨서 키를 환경 변수에 저장하고, 프론트엔드에서는 그쪽을 호출하게 만들어. 그리고 제공자 대시보드에서 월간 지출 한도를 확실하게 설정해두고, 이미 키가 노출됐으니 지금 당장 키를 새로 발급받아. 예전에 키가 유출됐을 때 나를 살린 게 바로 그 지출 한도였어. 요금 폭탄 맞는 대신 딱 한도에서 멈췄거든.