Segreti e variabili d'ambiente senza incollare chiavi nella chat

La maggior parte delle app reali ha bisogno di almeno un segreto: la chiave di un fornitore di pagamenti, quella di un servizio email, una chiave per un'API di intelligenza artificiale. In Mythex non le incolli in un prompt. Quando l'agente ne ha bisogno, mostra in chat una scheda richiesta di segreti, tu inserisci il valore nella scheda e viene salvato come segreto del progetto, che la tua app può leggere, senza che la chiave finisca nella conversazione.

Cosa fa

Ogni progetto Mythex può memorizzare variabili d'ambiente: valori con un nome, come STRIPE_SECRET_KEY, che la tua app legge quando viene eseguita invece di averli scritti nel codice. I segreti sono variabili d'ambiente i cui valori devono restare privati.

Gli stessi valori sono disponibili in due posti:

• La sandbox, dove l'agente costruisce ed esegue la tua app mentre lavori.
• Le tue pubblicazioni, che usano i visitatori.

Ci sono tre modi per aggiungerli:

1. La scheda di richiesta dei segreti, che l'agente mostra in chat quando gli serve una chiave per completare qualcosa.
2. Impostazioni del progetto → Segreti, dove puoi aggiungere o modificare i valori in qualsiasi momento.
3. /secrets in chat, per aggiungere o aggiornare segreti su richiesta.

Perché è utile

Il modo più ovvio per dare una chiave a un agente IA è incollarla nel messaggio. Funziona, ma la chiave finisce nella cronologia della chat, in chiaro, accanto a tutto il resto di ciò che hai scritto.

La scheda dei segreti tiene il valore fuori dalla trascrizione. Lo inserisci nei campi della scheda, non nella casella dei messaggi, e viene salvato come segreto del progetto. L'agente prosegue con la chiave disponibile nella sandbox.

Tenere le chiavi nelle impostazioni del progetto invece che nel codice ha anche altri vantaggi:

• Le chiavi restano fuori dal controllo di versione. Il tuo codice fa riferimento a una chiave tramite il nome; il valore vive nelle impostazioni del progetto.
• L'agente e la tua app in esecuzione vedono la stessa configurazione. Non esistono copie che si disallineano.
• Puoi ruotare una chiave senza riscrivere il codice. Cambi il valore nelle impostazioni; il codice continua a leggerlo per nome.

Se le variabili d'ambiente ti sono nuove, la nostra guida su cosa sono le variabili d'ambiente e i segreti spiega l'idea da zero.

Come usare la scheda dei segreti

1. Chiedi la funzione, per esempio «invia un'email di benvenuto quando qualcuno si registra».
2. Quando l'agente ha bisogno di una chiave, nella chat compare una scheda di richiesta dei segreti che elenca il valore richiesto.
3. Inserisci il valore nei campi della scheda, non nella casella dei messaggi.
4. Conferma. Il valore viene salvato come segreto del progetto.
5. L'agente prosegue, con la chiave disponibile nella sandbox.

Come aggiungere i segreti da solo

1. Apri le impostazioni del progetto, poi Segreti.
2. Aggiungi chiavi come STRIPE_SECRET_KEY, OPENAI_API_KEY o le credenziali del tuo servizio.
3. Chiedi all'agente di leggerle nel modo standard per il tuo framework, per esempio da process.env in un'app Node.
4. Pubblica di nuovo se un'app pubblicata ha bisogno dei nuovi valori.

Puoi anche scrivere /secrets nella chat per aggiungerli o aggiornarli lì.

Modificare un segreto su un'app pubblicata

Un'app pubblicata recepisce i segreti al momento della pubblicazione. Dopo aver aggiunto o modificato un segreto, pubblica di nuovo affinché la versione online riceva il nuovo valore. Fino ad allora, i visitatori usano ancora l'app con la vecchia configurazione.

Consigli di sicurezza

• Non inserire mai segreti nel repository. Tienili nelle impostazioni del progetto.
• Usa chiavi riservate al server per le operazioni privilegiate. Una chiave che può addebitare carte o inviare email appartiene al codice che gira sul server, non a qualsiasi cosa scarichi il browser di un visitatore.
• Se una chiave finisce nella cronologia della chat, ruotala. Crea una nuova chiave presso il fornitore, revoca quella vecchia e aggiorna il valore nelle impostazioni del progetto. Considera esposta ogni chiave incollata in una chat.

Limiti

• La scheda serve solo se la usi. Se incolli comunque una chiave nella casella dei messaggi, resta nella trascrizione. Ruotala presso il fornitore e aggiorna il valore salvato.
• Le app pubblicate richiedono una nuova pubblicazione per recepire segreti nuovi o modificati.
• Conservare una chiave in modo sicuro non rende sicuro ogni suo utilizzo. Conta anche dove viene usata: tieni le chiavi privilegiate dal lato server della tua app.

Per saperne di più su come mettere al sicuro un'app prima di condividerla, vedi la nostra checklist di sicurezza per le app create con l'IA.

La documentazione contiene i dettagli: Variabili d'ambiente e segreti e Segreti in chat.