U-01 Geen geheimen, API-sleutels of interne adressen in de JavaScript-bundel
Waarom
Alles wat in de browser staat, kan iedereen lezen. Geheimen, tokens en scripts van derden horen daar niet zomaar.
Hoe we het controleren
Methode: scan
- Scan: volledig automatisch, met vaste regels. Dezelfde code geeft altijd dezelfde uitkomst.
Deze check zit in de open-source scanner. Bekijk de code van deze check (aiscan/checks/bundle.py).
Zo los je een bevinding op
Haal geheimen uit de frontend: geheime sleutels alleen op de server, nooit in VITE_/NEXT_PUBLIC_-variabelen of in de browser.
Op welk niveau
| Niveau 1 · Basisscan | ● verplicht |
|---|---|
| Niveau 2 · Gekeurd | ● verplicht |
| Niveau 3 · Gekeurd Plus | ● verplicht |
| Niveau 4 · Kritiek | ● verplicht |
Norm of wet
OWASP ASVS 5.0; A02:2025
Standaardernst
Kritiek Een keurder mag hiervan afwijken, met een motivatie in het rapport.