スタンフォード大学と関連研究者らが発表した「Keys on Doormats」研究は、ウェブ上の1000万サイトを動的解析手法でスキャンし、本番環境で使用されている1748件の有効なAPIキーを明らかにした。

これらのキーの中には、グローバルなシステミック重要性を持つ銀行（G-SIB）、国家エネルギー供給者、学校、警察、裁判所システムなどの重要インフラ機関に属する認証情報も含まれていた。

研究者らは、この流出の大半がソースコードスキャンツールでは検知できない、ビルド工程でJavaScriptバンドルに自動的に埋め込まれる環境変数に由来すると指摘。検出された流出の84%がJavaScriptファイルにあり、そのうち60%以上がビルド後に生成されるバンドルのみに存在していた。