Traduzione vocale in tempo reale: dove finiscono le tue API key

Un sistema di traduzione vocale vive di chiavi API, non di codice

Un articolo tecnico pubblicato su dev.to, "Building Better Restaurant Communication with Real-Time Speech Translation", descrive una pipeline di traduzione vocale che unisce cattura audio, riconoscimento vocale, traduzione automatica e sintesi. Un passaggio è particolarmente interessante per chi costruisce software: molte di queste applicazioni dipendono da API cloud per ogni fase, e proprio per questo la scelta tra deployment cloud, self-hosted o ibrido diventa una decisione architetturale, non un semplice dettaglio.

Dietro quella frase apparentemente innocua c'è un problema molto concreto. Ogni chiamata al servizio di speech-to-text, ogni richiesta al motore di traduzione, ogni sintesi vocale passa attraverso una credenziale. E le credenziali, quando il codice le gestisce male, finiscono dove non dovrebbero: nel bundle del frontend, in un file committato per sbaglio, in una variabile lasciata visibile al browser.

Se stai costruendo qualcosa di simile — un assistente vocale, un widget di traduzione, un layer di comunicazione multilingua — il vero rischio non è la latenza. È non sapere in che stato sono i tuoi segreti.

Cosa significa se il tuo codice l'ha scritto Lovable

Strumenti come Lovable ti permettono di passare da un'idea a un prototipo funzionante in poche ore. Colleghi un servizio di traduzione, incolli una chiave API, chiedi al modello di "far parlare l'app con l'endpoint" e la cosa funziona. È esattamente il motivo per cui li usiamo.

Il problema è cosa succede a quella chiave. Quando generi un frontend che chiama direttamente un'API esterna, la tentazione — e spesso il comportamento predefinito del codice generato — è mettere la chiave lato client. In quel momento la tua credenziale del servizio di riconoscimento vocale o di traduzione è leggibile da chiunque apra gli strumenti per sviluppatori del browser.

Una chiave di traduzione esposta non è un problema teorico. Chi la trova può usarla per far girare il proprio traffico sul tuo account, prosciugare la tua quota e farti arrivare una fattura che non ti aspetti. E se la stessa chiave dà accesso a più servizi, il danno si allarga.

Lovable non ha sbagliato: ha prodotto codice che funziona. Ma "funziona" e "è sicuro da pubblicare" sono due verdetti diversi, e nessuno te li dà automaticamente.

Perché ora ti serve un audit

Quando una pipeline dipende da servizi esterni, i punti in cui una credenziale può sfuggire si moltiplicano: il frontend, le variabili d'ambiente, i file di configurazione, i log, persino i messaggi di errore che rimandano al client. Individuarli a occhio, in un repository generato in fretta, è difficile perché non sai nemmeno da dove partire.

Un audit serve esattamente a questo: darti un verdetto sullo stato del tuo codice prima che lo faccia qualcun altro al posto tuo. VibeInspect funziona in modo semplice: carichi lo ZIP del repository, alcuni specialisti AI lo analizzano e ricevi un PDF con il verdetto. Niente server da configurare, e il codice sorgente viene cancellato al termine dell'analisi.

È importante essere chiari su cosa non è. VibeInspect non è un pentest, non è un linter e non corregge il codice al posto tuo. Non ti promette sicurezza assoluta. Ti dice dove stai rischiando, con evidenze concrete, così che tu possa decidere cosa sistemare per primo.

Per un progetto che tocca API di terze parti e credenziali, il piano Diagnostic ti mostra file, riga ed evidenze: dove una chiave è esposta, dove una variabile finisce nel client, dove un segreto è stato committato. È la differenza tra sospettare che qualcosa non vada e sapere esattamente dove intervenire.

Cosa un linter non vede

È facile pensare: "Ho già il linter attivo, mi avviserebbe". Non è così. Un linter valuta la forma del codice — stile, variabili inutilizzate, formattazione, pattern sintattici. Non ha idea di cosa sia una credenziale sensibile né di dove finisca a runtime.

Un linter non capisce che quella stringa hardcoded è la tua chiave del servizio di traduzione. Non sa che una variabile con prefisso pubblico verrà inclusa nel bundle e servita al browser. Non distingue tra una configurazione che resta sul server e una che viene spedita a ogni visitatore. Per il linter una chiave API è solo una stringa come le altre.

Allo stesso modo, un linter non ragiona sul flusso: non ti dice che il tuo frontend sta chiamando direttamente un'API a pagamento senza un backend che faccia da filtro, né che manca un controllo su chi può invocare quell'endpoint. Questi sono problemi di architettura e di gestione dei segreti, non di sintassi.

È proprio in questo spazio — tra ciò che compila senza errori e ciò che è davvero sicuro da mettere online — che si nascondono i segreti esposti. E quello spazio un linter non lo copre.

Cosa fare questa settimana

Non serve riscrivere tutto. Servono tre passaggi concreti.

Primo: apri il codice e cerca ogni chiave API scritta direttamente nei file o passata al frontend. Se una credenziale di un servizio esterno è raggiungibile dal browser, spostala dietro un backend il prima possibile.

Secondo: se hai committato una chiave, consideralapotenzialmente compromessa. Rigenerala dal pannello del servizio e revoca la vecchia. Cambiare la chiave nel codice non basta se quella precedente resta valida.

Terzo: ottieni un verdetto sull'intero repository. Carica lo ZIP su VibeInspect, lascia lavorare l'analisi e leggi il PDF. In pochi minuti sai dove sono i segreti esposti e quali sono le priorità reali, con file e riga.

Usare Lovable per andare veloce non è un errore. L'errore è pubblicare senza sapere in che stato è il codice. Questa settimana, dai un'occhiata alle tue chiavi prima che lo faccia qualcun altro.