Teknik not
Vibe Coding Güvenliği: API Anahtarını AI Kodundan Koruma Rehberi
Vibe coding, yapay zekâdan doğal bir dille kod üretmesini isteyerek uygulama geliştirmeyi hızlandırır. Ancak hız arttıkça küçük bir güvenlik hatası da büyüyebilir. Özellikle API anahtarını doğrudan koda, GitHub deposuna veya yapay zekâ sohbetine eklemek; hesabınızın, verilerinizin ve bütçenizin riske girmesine yol açabilir.
Bu rehberde vibe coding güvenliği için en önemli konulardan biri olan secret yönetimini basit bir akışla anlatıyorum. Amaç korkutmak değil: AI ile kod yazarken API anahtarlarını nerede tutacağınızı ve sızıntı olursa ne yapacağınızı netleştirmek.
Vibe coding güvenliği neden önemli?
Yapay zekâ size çalışan bir örnek hazırlarken hızlıca bir API anahtarı ekleyebilir. Siz de uygulama çalıştığı için kodu doğrudan kullanabilirsiniz. Sorun, anahtarın kodla birlikte paylaşılması veya yayınlanmasıyla başlar.
Bir API anahtarı ele geçirilirse kötü niyetli biri sizin hesabınız üzerinden istek gönderebilir. Bunun sonucu beklenmeyen kullanım ücreti, veri erişimi veya hizmetin geçici olarak durması olabilir. Bu nedenle güvenlik, uygulama tamamlandıktan sonra yapılacak son bir kontrol değil; ilk istemden itibaren akışın parçasıdır.
API anahtarı nedir?
API anahtarı, uygulamanızın bir servise “bu isteği yapmaya yetkim var” demesini sağlayan özel bir bilgidir. Şifre kadar hassas düşünülmelidir. Anahtarın adı API_KEY, SECRET veya başka bir şey olabilir; adı değişse de kural değişmez: Kullanıcıya veya herkese açık kod deposuna verilmez.
6 basit kuralla API anahtarını koru
1. Anahtarı AI sohbetine yapıştırma
Bir hata alırsanız yapay zekâya gerçek anahtarı göndermek yerine şu ifadeyi kullanın: “API anahtarını paylaşmadan, API_KEY adlı bir ortam değişkeni kullanarak çöz.” Gerçek değer yerine sk-example-123 gibi sahte bir örnek kullanın.
Bir sohbet kaydına, ekran görüntüsüne veya hata günlüğüne gerçek anahtar girdiyse onu artık gizli kabul etmeyin. Anahtarı iptal edip yenisini oluşturun.
2. Değeri koddan ayır
Sunucu tarafındaki projelerde anahtarı ortam değişkeninde veya bir secret yöneticisinde tutun. Kod yalnızca değişkenin adını bilmeli:
const apiKey = process.env.API_KEY;Bu yaklaşım, aynı kodu geliştirme, test ve üretim ortamlarında farklı anahtarlarla çalıştırmayı kolaylaştırır. Anahtar değiştiğinde kaynak kodu yeniden düzenlemeniz gerekmez.
3. .gitignore dosyasını kontrol et
.env gibi dosyaları Git deposuna göndermemek için .gitignore içine ekleyin:
.env
.env.*
!.env.example.env.example dosyasında yalnızca değişken adlarını ve sahte değerleri gösterebilirsiniz:
API_KEY=your-key-hereÖnemli not: Anahtar daha önce Git geçmişine girdiyse satırı silmek tek başına yeterli değildir. Önce anahtarı servis sağlayıcının panelinden iptal edin veya yenileyin.
4. Mobil uygulamada .env dosyasına güvenme
Flutter veya başka bir mobil uygulamada .env kullanmak, anahtarı uygulamanın içine gömmek anlamına gelebilir. Uygulama indirildikten sonra paket incelenebileceği için bu yöntem gerçek bir kasa değildir.
Özel bir API anahtarına ihtiyaç varsa daha güvenli akış şöyledir: Mobil uygulama kendi backend’inize istek gönderir, backend de gizli anahtarla üçüncü taraf servise bağlanır. Böylece anahtar uygulama paketinde görünmez. AI’dan kod isterken de bu şartı açıkça yazın: “Gizli API anahtarını Flutter istemcisine koyma; backend üzerinden güvenli bir proxy endpoint oluştur.”
5. Her ortam için ayrı anahtar kullan
Geliştirme, test ve üretim ortamlarında tek bir anahtar kullanmayın. Mümkünse her ortam ve servis için ayrı anahtar oluşturun. Böylece test sırasında oluşan bir sızıntı üretim hesabını doğrudan etkilemez.
Anahtarları mümkün olan en düşük izinlerle sınırlandırın ve kullanılmayan anahtarları kapatın. “Her şeyi yapabilen tek anahtar” kısa vadede kolay, uzun vadede risklidir.
6. Yayınlamadan önce AI’dan güvenlik taraması iste
Vibe coding akışının sonuna küçük bir güvenlik kapısı ekleyin. Örneğin AI’ya şunu sorun:
“Bu projeyi secret sızıntısı açısından incele. Sabit API anahtarı, parola, token, kişisel veri, güvensiz log ve istemciye gömülmüş gizli bilgi var mı kontrol et. Her bulgu için dosya, risk ve düzeltme önerisi ver.”
AI’nın raporu iyi bir başlangıçtır; ancak gerçek anahtarları yine kendiniz kontrol edin. Otomatik öneriyi körü körüne uygulamak yerine değişikliği okuyup küçük bir test yapın. Kod kalitesi ve sürdürülebilirlik için vibe coding projelerinde teknik borç konusuna da göz atabilirsiniz.
Yanlış ve doğru yaklaşım
Yanlış yaklaşım, anahtarı doğrudan kaynak koduna yazmaktır:
const apiKey = "gercek-anahtar-buraya";Daha iyi yaklaşımda kod yalnızca güvenli bir kaynaktan değeri okur:
const apiKey = process.env.API_KEY;
if (!apiKey) {
throw new Error("API_KEY tanımlı değil.");
}Bu örnek anahtarı tek başına korumaz; sunucunun ortam değişkenini, erişim izinlerini ve dağıtım ayarlarını da doğru yapılandırmanız gerekir. Güvenlik bir satırdan değil, küçük ama tutarlı kontrollerden oluşur.
API anahtarı sızarsa ne yapmalısın?
- Hemen iptal et veya yenile. Sızıntının kaynağını bulmayı bekleme.
- Kullanım kayıtlarını kontrol et. Beklenmeyen istek veya ücret var mı bak.
- Yeni anahtarı güvenli bir yerde tanımla. Kaynak koduna ve sohbet geçmişine ekleme.
- Git geçmişini temizle. Gerekirse servis sağlayıcının secret scanning ve temizleme yönergelerini uygula.
- Tekrarını önle. Pre-commit kontrolü, secret scanning ve yayın öncesi kısa bir kontrol listesi ekle.
Yayın öncesi 30 saniyelik kontrol listesi
- Kaynak kodunda gerçek API anahtarı veya parola var mı?
.envve benzeri dosyalar Git’e eklenmiş mi?- Mobil uygulamaya gizli bir anahtar gömülmüş mü?
- Geliştirme ve üretim anahtarları birbirinden ayrı mı?
- Loglarda token, e-posta veya kişisel veri görünüyor mu?
- Şüpheli bir sızıntı varsa anahtar yenilendi mi?
Sonuç
Vibe coding ile hızlı üretmek güvenlikten vazgeçmek anlamına gelmez. Gerçek API anahtarını paylaşmamak, secret’ları koddan ayırmak, mobil uygulamada backend kullanmak ve yayın öncesi kısa bir tarama yapmak çoğu küçük proje için güçlü bir başlangıçtır.
Vibe coding’in temel mantığını öğrenmek için Vibe Coding Nedir? yazısına, API sözleşmesini daha düzenli kurmak için de şema-önce API geliştirme rehberine geçebilirsiniz.