Adicione um chatbot de IA ao seu app HTML sem vazar sua chave de API

Adicionar um assistente de chat a um app é uma das ideias mais populares do momento. É também onde muitos desenvolvedores iniciantes cometem um erro caro: colam a chave de API de IA direto no JavaScript.

Qualquer pessoa pode abrir um APK e ler os arquivos dentro dele. Se sua chave estiver lá, alguém vai encontrá-la, e você vai pagar pelo uso dessa pessoa. Veja como fazer do jeito certo.

A regra: a chave nunca vai no app

Seu app deve falar com o seu servidor. Seu servidor guarda a chave e fala com o provedor de IA. O app nunca vê a chave.

Phone app  →  your small proxy  →  AI provider
              (holds the key)

Esse proxy pode ser bem pequeno. Uma função serverless no Cloudflare Workers, por exemplo, tem algumas dezenas de linhas e um plano gratuito generoso.

Um proxy mínimo

// Cloudflare Worker. The key is stored as a secret, not in code.
export default {
  async fetch(req, env) {
    if (req.method !== 'POST') return new Response('Not allowed', { status: 405 });
    const { message } = await req.json();
    if (!message || message.length > 2000) return new Response('Bad request', { status: 400 });
    // Call your AI provider here with env.AI_KEY and return its answer.
  }
};

Guarde a chave no recurso de segredos da plataforma para que ela nunca apareça no seu código nem no seu repositório.

Limite o que o proxy pode fazer

• Limite o tamanho da entrada. Rejeite mensagens enormes antes que cheguem à IA.
• Fixe o modelo e as configurações no servidor. Não deixe o app escolher um modelo caro.
• Limite de requisições. Algumas requisições por minuto por usuário são mais que suficientes para um recurso de chat.
• Defina um limite de gastos com seu provedor de IA, para que um bug nunca vire uma conta enorme.

Chamando a partir do seu app

No seu app HTML, um fetch normal para o seu proxy é tudo de que você precisa. Mostre um indicador de digitação enquanto espera e trate os erros com gentileza: celulares perdem sinal e o serviço de IA pode estar ocupado.

Lembre das regras das lojas

Um app que gera texto com IA se enquadra na política do Google Play para conteúdo gerado por IA. Você precisa de uma forma de os usuários denunciarem respostas ofensivas, e sua política de privacidade e o formulário de Segurança dos dados devem mencionar que as mensagens são enviadas a um serviço de terceiros. Abordamos os dois no nosso guia da política e em privacidade em apps de IA.