Confirmer que ton projet Supabase est à toi
Sommaire
Ton site parle à une base Supabase, et c’est souvent là que fuient les données : une table sans RLS se lit avec la clé publique que ton site envoie à chaque visiteur. Rustine peut le vérifier pendant l’audit complet, à condition que tu lui confirmes que ce projet Supabase est bien le tien.
Pourquoi Rustine te le demande
Ton projet Supabase vit sur une adresse à part (xxxx.supabase.co). Prouver que ton site est à toi ne prouve pas que la base l’est aussi : un site peut appeler le Supabase d’un prestataire ou d’un widget. Avant d’interroger cette base, Rustine veut donc deux choses :
- que ton site vérifié serve lui-même l’adresse et la clé anon de ce projet, pendant l’audit ;
- que tu aies dit une fois que ce projet est à toi.
Les étapes
Prouve d'abord que ton site est à toi
La question n’apparaît que sur un site vérifié.
Réponds au bandeau de ton projet
Quand un scan trouve ta base, le haut de ton projet affiche « On a trouvé ta base Supabase. » Clique sur Oui, c’est la mienne.
Capture à fairePage d’un projet vérifié, bandeau « On a trouvé ta base Supabase. » en haut, avec « Oui, c’est la mienne » et « Connecter Supabase ».Relance l'audit complet
C’est le prochain audit qui regarde ta base. Les problèmes trouvés arrivent dans ton rapport comme les autres.
Ce que l’audit lit dans ta base
Uniquement ce que n’importe quel visiteur de ton site peut faire avec la clé anon, et le moins possible :
- le schéma que ton projet expose ;
- pour chaque table, le nombre de lignes qu’on peut lire. Jamais leur contenu : la requête demande un compte, pas les lignes ;
- la liste de tes buckets de stockage, et s’ils sont publics ;
- les réglages publics de l’authentification.
Aucune ligne n’est enregistrée. La preuve d’un problème, c’est la requête, la réponse de Supabase et le nombre de lignes.
Plus précis : connecter ton compte Supabase
Au lieu de la case, tu peux cliquer sur Connecter Supabase. Tu te connectes chez Supabase et tu choisis l’organisation. Rustine demande un accès en lecture seule (projets, authentification, stockage, base) et lit alors la configuration elle-même : RLS activée ou non sur chaque table, politiques, réglages d’authentification. C’est plus précis que de compter des lignes, et ça ne touche pas à tes données.
Rustine ne demande jamais ta clé service_role, qui donne tous les droits sur ta base. Tu peux couper cet accès à tout moment depuis Supabase.
Ça ne marche pas ?
Je ne vois pas le bandeau
Soit ton site n’est pas encore vérifié, soit le dernier scan n’a pas trouvé ta base dans le code que ton site envoie au navigateur. Si ton site charge Supabase seulement après une connexion, Rustine ne le voit pas depuis l’extérieur.
Ce projet Supabase n'est pas à moi
Ne coche rien. L’audit signale la clé trouvée, sans interroger ce projet.
Rustine propose « Reconnecter Supabase »
Supabase a refusé l’accès (révoqué, ou expiré). Clique sur Reconnecter Supabase et refais l’autorisation.
Toujours bloqué ?
Ouvre le chat : on voit d'où tu viens, pas besoin de tout réexpliquer.