Je vais sécuriser votre base de données Supabase pour votre application Lovable, replit ou base44

Votre application Lovable ou Bolt fonctionne. Ce n’est pas la même chose que d’être sécurisé.

Supabase intègre l’URL de votre projet et la clé anonyme dans le bundle frontend. C’est prévu ainsi et cela n’est sécurisé que si la Row Level Security est activée et que les politiques sont correctes. De nouvelles tables arrivent avec RLS désactivé et les constructeurs d’IA ajoutent des tables en permanence sans l’activer.

Donc, n’importe qui peut ouvrir les outils de développement, prendre votre clé et interroger directement votre base de données. Utilisateurs, commandes, messages, tout est lisible. Rien ne se casse, c’est pourquoi les propriétaires ne découvrent jamais rien.

Je teste votre application comme le ferait un attaquant. Je récupère votre clé dans le bundle, j’énumère chaque table, et j’essaie de lire, insérer, mettre à jour et supprimer sur chacune d’elles depuis l’extérieur de votre application. Vous obtenez un tableau montrant exactement ce qu’un visiteur anonyme peut atteindre.

Ensuite, je ferme tout. Politiques écrites et vérifiées en relançant le même test jusqu’à ce que chaque point de terminaison ne renvoie rien, tout en laissant votre application fonctionner normalement.

Ce qui est couvert : politiques RLS, gestion de l’authentification et des sessions, exposition de la clé de rôle de service, permissions du stockage, problèmes de schéma et de clé étrangère, câblage API et webhook.

Ce qui n’est pas couvert : travail sur l’interface utilisateur, modifications de design, soumissions à l’App Store.

Envoyez-moi l’URL de votre application avant de commander et je vous dirai ce que je trouve