Les clés publiques sont visibles, et ce n’est pas un défaut. Ce qui les protège, c’est le contrôle d’origine : elles ne sont acceptées que depuis les domaines déclarés dans CONTROL. Une clé recopiée sur un autre site reçoit 403 origin_not_allowed. Déclarez donc vos domaines avec et sans www, en https, et n’oubliez pas la préproduction.