Qual a diferença entre chamar a API pelo backend vs frontend?

⚠️ NÃO. Chamar direto do frontend é perigoso.

Padrão correto:

✅ RECOMENDADO:
Frontend (React/Vue) → Backend (seu servidor) → Cortex API
                       (API key aqui)

❌ EVITAR:
Frontend → Cortex API diretamente
           (API key exposta no browser = comprometida em minutos)

Por que:

• Qualquer usuário com DevTools (F12) vê a API key no network tab
• Scrapers indexam chaves em extensões do navegador
• Uma vez vazada, atacantes esgotam seu budget e podem extrair dados

Como fazer direito:

1. Backend guarda a API key (variável de ambiente, cofre de secrets)
2. Frontend chama seu backend (sem precisar da key da Cortex)
3. Backend chama a Cortex passando a key internamente
4. Backend valida o usuário antes (RBAC próprio) e passa user identifier para log de auditoria

Para aplicações JAMstack / sem backend, considere Next.js API routes, Cloudflare Workers, Vercel Edge Functions ou Supabase Edge Functions como proxy.

📖 Documentação completa na Wiki:

• APIs e Integrações — Segurança