Supabase et RLS : la vérification de 2 minutes
L’IA oublie régulièrement une config Supabase qui décide si n’importe qui peut lire ta base.
Ça s’appelle RLS, et ce n’est pas activé par défaut sur les tables créées via SQL… Et devine qui utilise le SQL pour les créer ? L’IA ! La plupart du temps, elle configure tout comme il faut… mais elle n’est pas infaillible.
L’an dernier, 170+ apps Lovable se sont fait aspirer leur base comme ça. Emails, paiements, clés API.
La vérification de 2 minutes si tu utilises Supabase
- Dashboard Supabase ⇒ Database ⇒ Policies.
- Cherche les tables marquées « RLS disabled » ou sans aucune policy.
⇒ Une table sans policy = une table publique.
Le RLS est en haut de la liste de ce que je regarde sur un projet Supabase.
De rien :)