URL de conexão Postgres com senha no bundle
Procura nos arquivos públicos do deploy URLs postgres:// ou postgresql:// com usuário e senha.
Por que importa
Com a URL de conexão, qualquer pessoa conecta direto no banco com as permissões desse usuário, sem passar pela sua API.
Como corrigir
Troque a senha do usuário no banco, remova a URL do código e leve o acesso ao banco para o servidor. Use variáveis de ambiente que não vão para o navegador (sem os prefixos NEXT_PUBLIC_ ou VITE_).
Como conferir a correção
SECRET-007
grep -rE 'postgres(ql)?://[^:]+:[^@]+@' ./dist || echo ok