Aplikasi dari vibe coding butuh email transaksional — ini cara aman pasangnya
63% pengguna vibe coding di 2026 bukan developer — founder, PM, marketer, designer. Mereka ship aplikasi nyata: Lovable ARR-nya tembus $400 juta, dan 25% batch YC Winter 2025 punya codebase 95%+ hasil AI. Tapi ada angka kedua yang jarang dibahas di thread Twitter: dari 1.400+ aplikasi vibe coding produksi yang discan Escape.tech, 58% punya minimal satu kerentanan kritis — termasuk 400+ secret yang terekspos.
Secret yang paling sering bocor? API key email.
Kenapa email jadi titik lemah
Setiap aplikasi yang punya user butuh email transaksional: verifikasi OTP, reset password, invoice, notifikasi. Founder non-teknis biasanya dapat instruksi seperti "paste API key kamu di sini" — dan mereka paste. Di kode frontend. Di file .env yang ikut ke Git. Di screenshot yang dikirim ke chat.
Efeknya bukan cuma spam. Orang yang pegang API key kamu bisa kirim email dari domain terverifikasi kamu — domain yang reputasi kirimnya kamu bangun berminggu-minggu. Bounce rate naik, masuk spam, dan domain yang kamu pakai untuk invoice pelanggan jadi tercemar. Beberapa provider bahkan pause akun kamu kalau bounce rate lewat 4%.
Aturan 4 langkah untuk aplikasi vibe-coded
1. API key tidak pernah di frontend. Kalau aplikasi kamu pakai Supabase (default Lovable), simpan key sebagai secret di Edge Function — bukan di kode yang jalan di browser. Prompt yang benar bukan "tambahkan tombol kirim email pakai Resend", tapi "tambahkan Edge Function yang kirim email via Resend, API key dibaca dari secret store". Kalau aplikasi kamu bisa dipakai orang lain kirim email ke siapa pun tanpa melalui backend kamu, key kamu praktis publik.
2. Key dengan permission minimum. Kalau provider kamu punya pilihan "full access" vs "sending only", selalu pilih sending only. Key sending-only yang bocor cuma bisa kirim email — tidak bisa baca kontak, domain, atau log akun kamu.
3. Satu key per environment. Key development dan production terpisah. Pas key dev bocor (dan ini akan terjadi — file .env yang ter-commit itu kasus paling umum), kamu rotate satu key tanpa production berhenti.
4. Domain terverifikasi + SPF/DKIM/DMARC sejak hari pertama. Jangan kirim dari alamat test provider selamanya. Setelah domain kamu verified dengan DKIM dan DMARC, email yang bocor key-nya tetap bisa dikirim orang lain dari domain kamu — tapi tanpa verifikasi, email legit kamu sendiri yang masuk spam.
Konteks Indonesia
Kebanyakan email API internasional bill dalam USD, dan founder Indonesia yang baru coba-coba vibe coding jarang mau pakai kartu kredit internasional untuk "coba dulu". MailAnvil dirancang untuk kasus ini: harga IDR, bayar via QRIS/GoPay, dokumentasi Bahasa Indonesia, dan scope key per-environment dari awal. Tapi prinsip di atas berlaku untuk provider apa pun — Resend, SendGrid, Mailgun — karena masalahnya bukan produknya, tapi kebiasaan paste-kan-key.
Checklist sebelum launch
- [ ] API key hanya di backend/Edge Function, tidak ada di bundle frontend
- [ ] Key permission "sending only", bukan full access
- [ ] Key dev dan production terpisah, nama key deskriptif
- [ ] Domain terverifikasi dengan SPF, DKIM, DMARC
- [ ] Bounce handling aktif — kalau key bocor, kamu tahu dari lonjakan bounce
- [ ] Rotasi key sebelum go-live publik kalau key pernah di-commit ke Git (cek history Git, bukan cuma file terakhir)
Vibe coding memangkas biaya MVP dari ~$200.000 ke ~$5.000. Email transaksional yang bocor bisa membatalkan seluruh penghematan itu dalam semalam. Pasang dengan benar dari awal — sepuluh menit setup, bukan seminggu memulihkan reputasi domain.