Код статичного приложения можно посмотреть по URL обработчика

HTML и JavaScript статичного приложения загружаются в браузер. Всё, что записано в этих файлах, пользователь может прочитать через DevTools — в том числе значения, которые не показаны на странице.

Поэтому постоянный входящий вебхук, client secret и ключ внешнего сервиса нельзя прятать в переменной фронтенда. Минификация и Base64 не меняют этого свойства.

Для интерфейса внутри портала можно использовать BX24.callMethod() в авторизационном контексте приложения и пользователя. Секреты внешних систем и операции с повышенными правами оставляют на backend.

Backend должен проверять авторизацию сам. Поле user_id, присланное браузером после user.current, не является доказательством личности: клиент может заменить его другим числом.

Если секрет уже был опубликован в JavaScript, сначала отзовите или замените его. Удаление строки из новой сборки не убирает копии из кеша и чужих загрузок.