Ich sichere deine Lovable, replit oder base44 App Supabase Datenbank

Deine Lovable- oder Bolt-App funktioniert. Das bedeutet nicht, dass sie sicher ist.

Supabase liefert deine Projekt-URL und den anon-Schlüssel im Frontend-Bundle. Das ist absichtlich so und nur sicher, wenn Row Level Security aktiviert ist und die Richtlinien stimmen. Neue Tabellen kommen mit RLS ausgeschaltet an, und AI-Builder fügen ständig Tabellen hinzu, ohne es zu aktivieren.

Jeder kann die Entwicklertools öffnen, deinen Schlüssel nehmen und direkt deine Datenbank abfragen. Nutzer, Bestellungen, Nachrichten – alles ist lesbar. Nichts bricht, weshalb Besitzer es nie herausfinden.

Ich teste deine App so, wie es ein Angreifer tun würde. Ich ziehe deinen Schlüssel aus dem Bundle, enumerate alle Tabellen und versuche Lese-, Schreib-, Änderungs- und Löschoperationen auf jeder Tabelle von außerhalb deiner App. Du bekommst eine Tabelle, die genau zeigt, was ein anonymer Besucher erreichen kann.

Dann schließe ich es. Die Richtlinien werden geschrieben und verifiziert, indem ich denselben Test wiederhole, bis kein Endpunkt mehr etwas zurückgibt, während deine App trotzdem normal funktioniert.

Abgedeckt: RLS-Richtlinien, Authentifizierung und Sitzungsverwaltung, Service-Role-Schlüssel-Exposition, Berechtigungen für Storage-Buckets, Schema- und Foreign-Key-Probleme, API- und Webhook-Verkabelung.

Nicht abgedeckt: UI-Arbeiten, Designänderungen, App-Store-Einreichungen.

Sende mir vor der Bestellung deine App-URL, und ich sage dir, was ich finde