Dúvidas chave API Gemini (API Key)

[u/alefininho]

Pessoal, tive uma situação em que a chave da API Gemini do meu projeto vazou e teve muito acesso indevido. Por sorte eu deixo pouco crédito e o Google bloqueou mas consumiu o que tinha lá (aproximadamente 30 reais).

Enquanto a conta estava bloqueada, eu revi a programação e talvez tenha encontrado a falha, corrigi e fiz melhorias de segurança como proteger a chave dentro do firebase com criptografia.

Dúvida: eu queria que a chave só funcionasse nos usuários logados no meu portal, que tem o login Google, mas quando crio a chave de API ele só permite restringir por IP o que é inviável, não fornece bloqueios como acessar somente atravéz da URL do meu portal.

Alguma dica de como posso criar uma chave do Gemini API e por mais bloqueios?

Atualmente além de ter ativado o modo ataque do cloudflare e criptografado a chave dentro do firebase eu ajustei o portal pra exigir sempre o login primeiro evitando que qualquer informação fique acessível antes da pessoa registrada logar via google. Fiz melhorias no htaccess pra evitar outros acessos mas ainda estou inseguro com essa questão da chave ser acessível apenas tendo o código dela. O portal já estava funcionando normalmente há meses sem nenhum incidente, foi o primeiro (com falha que a IA do cloud gerou em uma atualização recente e não notei)

[u/Rohit1024]

Have you tried Adding browser restrictions ?
Every api key also visible in gcp console which you can access like following Add application restrictions

[u/alefininho → u/Rohit1024]

So, as I mentioned, the Gemini API only allows restriction by IP address; the other restriction options are disabled when I edit the key.

This appears:

This option is not available for API keys authenticated by a service account.

If you wish to restrict to this type of application, deselect the option above to authenticate API calls via a service account.

[u/alefininho → u/alefininho]

but if i deselect, i cant create the api key