Хорошая новость: для базовой безопасности не нужно быть хакером. Нужно знать три правила.

Правило 1: секреты живут в секретах

API-ключи (OpenAI, платёжки, Telegram-бота) — это пароли. Вставил ключ прямо в текст промпта или кода — считай, опубликовал: боты-сканеры находят ключи в открытых проектах за минуты и жгут чужие лимиты.

Как правильно: у каждого инструмента есть хранилище секретов (Secrets в Replit, переменные окружения в Lovable). Говоришь ИИ: «Ключ OpenAI будет в секретах под именем OPENAI_API_KEY — используй его оттуда», а сам ключ вставляешь только в хранилище.

Правило 2: лимиты на расходы

Если приложение вызывает платный ИИ-API, любой посетитель тратит твои деньги. Три предохранителя:

Поставь лимит расходов в кабинете провайдера API (например, $10/мес) — это главный стоп-кран.
Попроси ИИ: «Ограничь: не больше 10 запросов с одного пользователя в час».
Функции с платным API — только за авторизацией, не в открытом доступе.

Правило 3: не собирай лишнего

Каждое поле с персональными данными — твоя ответственность (в Европе — буквально юридическая, GDPR). Форме записи хватает имени и телефона; дата рождения, адрес и паспорт ей не нужны. Меньше собрал — меньше рисков.

Мини-чеклист перед запуском

✅ Ключи в секретах, не в коде · ✅ лимит расходов у провайдера · ✅ платные функции за входом · ✅ два тестовых аккаунта не видят чужое · ✅ форма собирает только необходимое.

Безопасность: ключи, секреты и чужие расходы