So sieht ein vollständiger Report aus

Widerrufe den Schlüssel sofort unter platform.openai.com/api-keys — nicht später, der alte ist unwiederbringlich öffentlich.

Danach: Der Aufruf gehört auf den Server, nicht in den Browser. Lege eine eigene Route an (z. B. eine Edge Function oder /api/chat), die den Schlüssel serverseitig hält und die Anfrage weiterreicht. Das Frontend ruft nur noch deine eigene Route auf.

`dangerouslyAllowBrowser: true` ist der Hinweis des SDK selbst, dass dieser Weg nicht vorgesehen ist.

In der Supabase-Konsole unter Authentication → Policies für die Tabelle `profiles`:

```sql
ALTER TABLE profiles ENABLE ROW LEVEL SECURITY;

CREATE POLICY "Eigenes Profil lesen"
  ON profiles FOR SELECT
  USING (auth.uid() = id);

CREATE POLICY "Eigenes Profil ändern"
  ON profiles FOR UPDATE
  USING (auth.uid() = id);
```

Wichtig: `ENABLE ROW LEVEL SECURITY` allein sperrt alles; ohne Policy kommt auch die eigene App nicht mehr an die Daten. Beides gehört zusammen.

Danach erneut prüfen — dieser Scan ist der Nachweis, dass es gewirkt hat.

In `vite.config.ts`:

```ts
export default defineConfig({
  build: { sourcemap: false },
});
```

Bei Next.js: `productionBrowserSourceMaps: false` (das ist bereits der Standard — prüfe, ob es irgendwo auf `true` gesetzt wurde).

Danach neu bauen und veröffentlichen. Vorhandene `.map`-Dateien auf dem Server löschen: Ein neuer Build entfernt sie nicht zwangsläufig.

Startpunkt für eine typische SPA:

```
Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'
```

Rolle sie zuerst als `Content-Security-Policy-Report-Only` aus und sieh in der Browser-Konsole nach, was blockiert würde. Erst wenn nichts Wichtiges mehr auftaucht, auf den scharfen Header umstellen.

Header ergänzen:

```
Referrer-Policy: strict-origin-when-cross-origin
```

Das ist der Wert, den moderne Browser ohnehin als Standard verwenden — ihn ausdrücklich zu setzen macht das Verhalten unabhängig vom Browser des Besuchers.

Als TXT-Eintrag anlegen, Name `_dmarc`:

```
v=DMARC1; p=none; rua=mailto:dmarc@beispiel-app.de
```

Beginne mit `p=none` — das verwirft noch nichts, sammelt aber Berichte darüber, wer in deinem Namen versendet. Wenn die Berichte sauber aussehen, auf `p=quarantine` und später `p=reject` hochstellen.

Zuerst mit `p=reject` zu starten, kann eigene Mails aus Newslettern oder Buchhaltungssystemen unzustellbar machen.

Nichts zu tun. Wir nennen es, weil daran hängt, welche Prüfungen wir für dich ausführen — und weil du wissen sollst, was von außen über deinen Aufbau erkennbar ist.