De secretos inconfesables, APIs, funciones sin servidor, Apps Script y vibe coding

Imagina la escena: estás en plena racha de vibe coding, tu proyecto empieza a tomar forma en el navegador y necesitas datos de una API. Consigues la clave, la pegas en el código y... ¡magia! ¡Has eliminado un obstáculo y puedes seguir creando!

Esta es la forma más directa de hacer que las cosas funcionen, pero aquí viene la sorpresa: esa clave, que parece un pequeño secreto bien guardado en tu código, en realidad queda totalmente expuesta. En este artículo vamos a descubrir por qué. Y esto nos conducirá naturalmente a una pregunta fundamental: si ahí no está segura, ¿dónde demonios la escondo?

Sí, el título parece la lista de la compra de un desarrollador con prisas. En lugar de buscar un nombre ingenioso, he preferido poner todas las cartas sobre la mesa. Como son varios los temas que vamos a tocar, y para que no te pierdas, aquí tienes el mapa del tesoro. ¡Vamos a meternos en materia!

En este artículo abordaremos el problema de cómo gestionar las claves secretas y otros datos sensibles para que tus proyectos de vibe coding no solo funcionen, sino que también sean razonablemente seguros y puedan crecer sin dramas.

El vibe coding mágico ha llegado para quedarse

APIs y el peligro de las claves secretas a la vista

Gemini / AI Studio y las claves de la API de Gemini, por esa razón el código no funciona fuera del entorno de Gemini / AI Studio.

El eterno dilema: ¿desarrollo en el cliente o en el servidor?

Un caso práctico: el lío de PeerMeet

La solución serverless (¡sin volverse loco!):

Ejemplo 1: Cloud Run

Ejemplo 2: Vercel / Netlify

Ejemplo 3: Apps Script

Conclusiones y siguientes pasos

Tokens JWT

Otro día hablaremos del uso ¿descuidado? de Firestore para hacer persistente la información.