Las claves API solo están disponibles en la función implementada, no en la aplicación de reacción. Puede llamar a una función desde su aplicación de reacción que luego llama a la API de MailChimp. Esto mantiene su clave API fuera del código del lado del cliente que lo mantiene seguro.

Como dice la documentación, configura las claves API con la CLI en la terminal

 firebase functions:config:set someservice.key="THE API KEY" someservice.id="THE CLIENT ID"

y luego puede usarlos en una función de base de fuego llamando

 const apiKey = functions.config().someservice.key

Firebase puede usar Google Cloud Platform Services, puede integrar GCP Secret Manager en sus funciones. Google Secret Manager es un sistema de almacenamiento conveniente, seguro y completamente administrado para dichos secretos.

Históricamente, los desarrolladores han aprovechado las variables de entorno o el sistema de archivos para administrar secretos en Cloud Functions. Esto se debió en gran parte a que la integración con Secret Manager requería que los desarrolladores escribieran código personalizado... hasta ahora. Con este servicio, puede almacenar sus claves sin procesar (estas se cifrarán) y recuperar mediante su función de código, lo que conlleva la ventaja de que puede restringir el acceso a través de Cloud IAM y cuentas de servicio. Además, esto puede ayudarlo a definir qué miembros de sus proyectos o qué cuentas de servicio pueden acceder a las claves API (secretos). Los permisos sobre los secretos se pueden configurar para que incluso los desarrolladores no puedan ver las claves del entorno de producción, mediante la asignación de permisos de acceso a los secretos. pero permitiendo que la función pueda obtener el secreto (porque la cuenta de servicio asociada con su función puede leer el secreto).

Otros beneficios incluyen:

• Cero cambios de código. Las funciones en la nube que ya consumen secretos a través de variables de entorno o archivos incluidos con la carga de origen simplemente requieren una marca adicional durante la implementación. El servicio de Cloud Functions resuelve e inyecta los secretos en tiempo de ejecución y los valores de texto sin formato solo son visibles dentro del proceso.
• Fácil separación del ambiente. Es fácil usar el mismo código base en varios entornos, por ejemplo, desarrollo, preparación y producción, porque los secretos se desacoplan del código y se resuelven en tiempo de ejecución.
• Admite el patrón de aplicación de 12 factores. Debido a que los secretos se pueden inyectar en las variables de entorno en tiempo de ejecución, la integración nativa admite el patrón de 12 factores al tiempo que brinda garantías de seguridad más sólidas.
• Almacenamiento, acceso y auditoría de secretos centralizados. Aprovechar Secret Manager como la solución centralizada de gestión de secretos permite gestionar fácilmente los controles de acceso, la auditoría y los registros de acceso.

En este documento puedes encontrar un ejemplo de código en JS sobre cómo usar GCP Secret Manager.