Primeiros Passos
Nunca vaze uma senha: variáveis de ambiente, .gitignore e repositório privado
A falha de segurança nº 1 de quem começa a construir com IA é vazar uma senha no código. Entenda, em linguagem de gente, o que são segredos, o .env, o .gitignore e o que fazer se vazar.
A falha de segurança número 1 de quem começa a construir com IA é simples e perigosa: deixar uma senha ou chave escrita no código e, sem querer, mandar isso para a internet. Um robô acha em minutos, e o estrago vem (conta invadida, custo na sua fatura). A boa notícia: evitar isso é fácil quando você entende 3 ideias. Vamos lá — sem jargão.
O que são "segredos"
Segredos são as chaves da sua casa digital: senhas, chaves de API (do banco de dados, de pagamento, de e-mail), tokens. Quem tem a chave, entra. Por isso elas nunca podem ficar à vista.
Ideia 1 — O arquivo de variáveis de ambiente (.env)
Em vez de escrever a chave no código, você a guarda num arquivo separado chamado .env (ou .env.local). O código apenas "pede" a chave a esse arquivo, sem nunca mostrá-la.
Pense assim: o código diz "use a chave do cofre", e o cofre (.env) fica só no seu computador.
Ideia 2 — O .gitignore (a lista do "não enviar")
Quando você manda seu projeto para o GitHub, nem tudo deve ir junto. O .gitignore é uma listinha que diz: "estes arquivos NÃO sobem". Nela entram, obrigatoriamente, o .env e qualquer arquivo de segredo.
Por que isso é o coração da segurança: com o .env no .gitignore, suas chaves ficam só com você, mesmo que o código vá para a internet.
Ideia 3 — Repositório privado
No GitHub, deixe o repositório do seu projeto privado (é grátis). Assim, só você (e quem você convidar) vê o código. Uma camada a mais de proteção.
E na hora de publicar?
Lembra que o .env não sobe? Então, ao publicar na Vercel (ou onde for), você recadastra essas mesmas chaves nas variáveis de ambiente do painel. O segredo viaja por um caminho seguro, nunca pelo código.
Socorro, acho que vazei uma chave!
Calma — e aja rápido:
- Troque (revogue) a chave no serviço de origem (Firebase, Stripe etc.). A chave antiga vira inútil na hora.
- Coloque a chave nova no .env e nas variáveis de ambiente.
- Garanta que o .env está no .gitignore para não repetir o erro.
Apagar o arquivo do GitHub depois não basta — o histórico guarda tudo. Por isso o passo 1 (revogar) é o que importa de verdade.
Prompt pronto — seu robô de Segurança
Antes de subir qualquer projeto, cole no Copilot Chat:
Papel: Aja como um Engenheiro de Segurança de Aplicações (AppSec) sênior, paciente com iniciantes. Contexto: vou publicar meu projeto e quero ter certeza de que não estou vazando nenhum segredo; meu nível é iniciante. Objetivo: que você (1) configure meu .gitignore para ignorar todos os arquivos .env e segredos; (2) verifique, no código que eu colar, se há alguma senha, chave ou token escrito direto; (3) me explique, em linguagem simples, o que encontrou e como corrigir. Como fazer: pense passo a passo. Se eu já tiver subido algo, me diga como revogar a chave exposta. Não invente problema — se estiver tudo certo, confirme. Código ou arquivos: [cole aqui].
Regras de ouro (cole na geladeira)
- Segredo nunca no código — sempre no .env.
- .env sempre no .gitignore.
- Repositório privado.
- Vazou? Revogue a chave imediatamente.
- A IA escreve; você confere antes de publicar.
Próximos passos
- Use o robô Revisor de Código & Segurança na Área do Cliente antes de cada deploy.
- Quer o método completo de construir com IA com segurança? Baixe o e-book IA Sem Medo nos materiais.
Segurança não é o assunto chato do final — é o que separa quem brinca de quem constrói de verdade. Agora você já está do lado certo.
Continue lendo
O ativo que ninguém tem: sua biblioteca de prompts
Você criou um prompt que funcionou e jogou fora. Quem organiza compõe valor. O passo a passo da biblioteca de prompts pessoal, com método.
Primeiros PassosTutorial: como usar o NotebookLM como seu pesquisador pessoal
Suba 50 documentos, pergunte e a IA responde só com base no que você subiu — sem alucinar. O passo a passo do NotebookLM, com método.
Primeiros PassosComo criar seu assistente de IA personalizado (sem código)
Agentes de IA são a onda de 2026 — a Gartner prevê 40% das empresas usando até o fim do ano. E você não precisa programar pra ter o seu. O passo a passo, com método.