Ik beveilig je Lovable, replit of base44 app supabase database

Je Lovable of Bolt app werkt. Dat betekent niet dat het veilig is.

Supabase stuurt je project URL en anon key mee in de frontend bundle. Dat is opzettelijk en het is alleen veilig als Row Level Security aanstaat en de policies correct zijn. Nieuwe tabellen komen met RLS uit en AI builders voegen constant tabellen toe zonder het aan te zetten.

Dus kan iedereen devtools openen, je key pakken en direct je database queryen. Gebruikers, bestellingen, berichten, alles leesbaar. Niks gaat stuk, daarom komen eigenaren er nooit achter.

Ik test je app zoals een aanvaller dat zou doen. Ik haal je key uit de bundle, enumerateer elke tabel en probeer lezen, toevoegen, bijwerken en verwijderen op elke tabel van buiten je app om. Je krijgt een tabel te zien die precies laat zien wat een anonieme bezoeker kan bereiken.

Daarna sluit ik het af. Policies worden geschreven en geverifieerd door dezelfde test opnieuw uit te voeren totdat geen enkele endpoint meer iets teruggeeft, terwijl je app nog gewoon werkt.

Gedekt: RLS policies, auth en sessiebeheer, service role key exposure, opslagbucket permissies, schema en foreign key issues, API en webhook wiring.

Niet gedekt: UI werk, ontwerpwijzigingen, app store indieningen.

Stuur me je app URL voor je bestelt en ik vertel je wat ik vind