SUPABASE

La consigne sécurité à coller à Claude avant la mise en ligne.

Celle de la vidéo, en entier : sécurité ligne par ligne sur chaque table, aucune clé secrète dans le navigateur, formulaires, limite de requêtes, mises à jour, et Claude qui essaie de t'attaquer.

À la fin

Un rapport de ce que Claude a corrigé, de ce qu'il a réussi à lire en t'attaquant, et de ce qui reste à faire de ton côté.

1 hIntermédiaire

2fichiers pour Claude

Outils

SupabaseClaude Code

Le pas à pas est gratuit, en entier. Ton e-mail débloque les 2 fichiers à donner à Claude, prêts à copier ou à télécharger.

Pourquoi ta base peut se lire

Comment ça marche.

Avec Supabase, ton appli parle directement à ta base depuis le navigateur, avec une clé publique. Cette clé, tout le monde peut la voir : c'est normal. Ce qui protège tes données, ce sont les règles posées sur chaque table. Sans elles, une table exposée se lit et se modifie par n'importe qui.

Un visiteura ta clé publique

Les règles RLStable par table

Ses lignes à luirien d'autre

Doc Supabase sur la Row Level Security : une table sans RLS se lit et s'écrit par tout rôle qui y a accès — La doc de Supabase le dit en rouge : sans RLS, une table exposée se lit et s'écrit.

La version courte (3 vérifs, Gitleaks et la case anti-robot de Cloudflare) est dans la ressource SÉCU. Ici, c'est la consigne complète de la vidéo.

Avant chaque mise en ligne

La consigne à coller.

Pour toi

Tu colles la consigne dans Claude Code, ouvert dans ton projet. Tu lis chaque étape avant de dire « suivante ».

Pour Claude

Claude passe tes tables, tes clés, tes formulaires et tes dépendances, puis essaie de lire ce qu'il ne devrait pas.

consigne-supabase.md37 lignes

Claude, je ne veux pas que mon appli se fasse vider. On la met bientôt en ligne. À partir de maintenant, tu travailles en mode sécurité, dans l'ordre ci-dessous, et tu ne passes pas à l'étape suivante sans me montrer ce que tu as trouvé.

Mon projet : [Supabase + Next.js / autre]. Tables principales : [liste]. Qui se connecte : [personne / mes clients / un admin].

1. Active la sécurité ligne par ligne (RLS) sur chaque table.
   - Liste toutes les tables des schémas exposés à l'API (public au minimum) : RLS activée ou non.
   - Active la RLS partout : alter table <table> enable row level security;

Le fichier complet, prêt à copier ou à télécharger, s'ouvre avec ton e-mail.

La dernière phrase, c'est pour rire : elle ne change rien. Ce qui te protège, c'est le test d'attaque de l'étape 6, et la vérif ci-dessous.

rls-exemple.sql14 lignes

-- Exemple pour une table « notes » où chaque utilisateur ne voit que ses lignes.
alter table public.notes enable row level security;

create policy "Lire ses notes" on public.notes
  for select to authenticated using ((select auth.uid()) = user_id);

create policy "Ajouter ses notes" on public.notes

Le fichier complet, prêt à copier ou à télécharger, s'ouvre avec ton e-mail.

Ne crois pas, regarde

Ce que tu vérifies toi-même.

Ouvre le Security Advisor.
Dans ton tableau de bord Supabase, Advisors, Security Advisor.
Tu dois voir aucune erreur « RLS disabled in public » (la règle 0013 : « table publiquement accessible »).
Cherche ta clé secrète dans le code envoyé au navigateur.
Ouvre ton site, outils de développement du navigateur, onglet Sources ou Réseau, et cherche sb_secret_ et service_role.
Tu dois voir zéro résultat.
Piège
Une clé secrète passe outre toutes tes règles. Si elle a été dans ton code client ou dans git, ne te contente pas de l'enlever : supprime-la dans Supabase et crée-en une nouvelle.
3
Protège ton compte.
0 / 3 fait
- Double authentification (MFA) sur ton compte Supabase.
- SSL imposé sur la base, dans les réglages de la base.
- Restrictions réseau si seuls tes serveurs parlent à la base en direct.

Supabase remplace ses anciennes clés anon et service_role par les clés publishable et secret, et retire les anciennes d'ici fin 2026 (doc lue le 13/10/2026). Si ton projet utilise encore les anciennes, prévois le changement.

FAQ

Questions.

Ma clé publique est visible dans mon site, c'est grave ?

Non, elle est faite pour ça, à condition que la RLS soit active avec de bonnes règles. C'est la clé secrète qui ne doit jamais y être.

J'ai activé la RLS et mon appli ne marche plus.

Normal : RLS active sans règle, l'API ne renvoie plus rien. Il faut les règles de chaque action (l'exemple SQL plus haut).

Claude dit que c'est sécurisé, je peux le croire ?

Crois ce qu'il a testé, avec le tableau de l'étape 6, pas la phrase. Et refais la vérif ci-dessus toi-même.

Comment ça marche.

La consigne à coller.

Ce que tu vérifies toi-même.

Ouvre le Security Advisor.

Cherche ta clé secrète dans le code envoyé au navigateur.

Protège ton compte.

Questions.