Проверь свой проект,
пока его не проверил
кто-то другой

Никто не подбирает пароли и не «взламывает сервер». Вся цепочка занимает минуту и состоит из действий, которые доступны любому посетителю. Ниже — учебный стенд, который мы собрали специально для этого гайда: салон записывает клиентов, данные вымышленные.

шаг 1обычная админка, ничего подозрительного

Первое, что делает любопытный посетитель, — открывает исходный код страницы. Это одно нажатие, никаких инструментов не нужно.

шаг 2ключ администратора лежит в коде

Дальше даже ключ не обязателен. Если у таблицы выключен RLS, публичного ключа хватает, чтобы прочитать её целиком — прямо в адресной строке.

шаг 3вся таблица одним адресом

Главная путаница новичка: «у меня ключ виден в браузере — я всё сломал?». Не обязательно. Ключей два, и они противоположны по смыслу.

Как отличить их глазами

Ключи Supabase — это три части, разделённые точками. Средняя часть кодирует роль. Если в ней встречается service_role — это секретный ключ, и в браузере ему не место. Строка anon — публичный. Проверять на глаз необязательно: в настройках проекта они лежат в разных блоках, и секретный там прямо помечен как секретный.

Row Level Security — это правила, которые база проверяет сама, для каждого запроса, независимо от того, кто и откуда пришёл. Обойти их со стороны браузера нельзя: они и есть охрана, которой нет в коде.

Включается одной командой в SQL-редакторе:

alter table leads enable row level security;

Сразу после этого таблица закрывается целиком: политик ещё нет, значит, разрешений тоже. Дальше описываешь, что можно. Типичный набор для «заявок с сайта»: чужой человек может только оставить заявку, читает их владелец.

-- любой может создать заявку
create policy "anyone can submit"
  on leads for insert
  to anon
  with check (true);

-- читает только владелец салона
create policy "owner reads"
  on leads for select
  to authenticated
  using (auth.uid() = owner_id);

Отказ выглядит не как ошибка

Здесь спотыкаются почти все. RLS не кричит «доступ запрещён» — он просто не показывает строки. Пустой список в ответ на чтение и пустой список в ответ на обновление означают одно: под правила не попало ни одной строки. Это успешная защита, а не поломка.

А вот когда таблицу закрывают жёстче — на уровне прав роли, а не строк, — ответ становится явным. Так закрыта очередь писем на нашем сайте: браузерному ключу её не отдают вообще.

наш APIответ боевой базы, не стенда

RLS ограничивает строки, но не колонки

Самая дорогая ошибка в этом списке — и её почти никто не ждёт. Политика вида «пользователь может обновлять свою строку» разрешает обновить в этой строке любое поле. В том числе то, которое ты считал служебным:

Лечится тем, что служебные поля вообще не принимают снаружи. Надёжный способ — триггер, который возвращает старое значение при попытке его изменить:

create or replace function protect_privileged_columns()
returns trigger
language plpgsql
security definer
as $$
begin
  new.upvotes    := old.upvotes;
  new.created_at := old.created_at;
  new.author_id  := old.author_id;
  return new;
end;
$$;

create trigger protect_projects_columns
  before update on projects
  for each row execute function protect_privileged_columns();

Мы пришли к этому не из книжки: накрутка счётчика прямым запросом была одной из находок нашего собственного аудита. Добавляешь новое служебное поле — сразу добавляй его в такой триггер, иначе оно останется открытым ровно до первого любопытного.

Про таблицы вспоминают, про файлы — нет. Между тем в бакеты попадает самое неприятное: сканы документов, фото пользователей, выгрузки, «черновик договора.pdf».

Проверяется одним запросом: попробуй получить список объектов публичным ключом, как это сделал бы посторонний.

curl -s -X POST \
  "https://ТВОЙ-ПРОЕКТ.supabase.co/storage/v1/object/list/ИМЯ-БАКЕТА" \
  -H "apikey: ПУБЛИЧНЫЙ-КЛЮЧ" \
  -H "Content-Type: application/json" \
  -d '{"prefix":"","limit":5}'

Пустой список [] — правильный ответ: листинг запрещён. Перечень файлов в ответе означает, что содержимое бакета публично, даже если ссылки нигде не опубликованы.

База закрыта — остаётся сама страница. Заголовки ответа сервера решают, что браузер разрешит ей делать. Ставятся один раз в настройках хостинга и дальше работают молча.

Посмотреть, что отдаёт твой сайт сейчас:

curl -sI https://ТВОЙ-САЙТ/ | grep -i \
  "content-security-policy\|strict-transport\|x-content-type\|referrer-policy"

Пустой вывод означает, что не стоит ничего.