Ik auditeer je supabase beveiliging, rls policies, functies en auth

Je Supabase anon key is openbaar. Iedereen kan deze kopiëren uit je app en direct je database aanroepen. Het enige dat tussen hen en de data van je gebruikers staat, zijn je RLS policies, je functie-grants en je auth-instellingen. Ik controleer alle drie.

Als je app is gebouwd met Lovable, Bolt of Cursor, is dit nog belangrijker: na de bekendmaking van Lovable in april 2026, kregen eigenaren de opdracht om keys te roteren en RLS op elke tabel handmatig te controleren.

Wat je krijgt:

• Elke bevinding beoordeeld van Critical tot Info, met de exacte request die het bewijst, de impact en de SQL voor de oplossing.
• Een scorekaart per gebied: RLS-dekking, policy-ontwerp, functie-exposure, auth, opslag.
• Live tests met alleen je anon key, zodat de bevindingen echt zijn, niet theoretisch.
• Een duidelijke lijst van wat niet is getest.

Ik heb een multi-tenant kliniek SaaS gebouwd op Supabase met RLS en SECURITY DEFINER helpers, en ik gebruik dezelfde checklist voor mijn eigen project.

Ik vraag nooit om je service-role key. Alleen read-only SQL-toegang en de anon key zijn genoeg. Stuur me je projectref en repo-link en ik bevestig de scope voordat je bestelt.