[{"data":1,"prerenderedAt":1151},["ShallowReactive",2],{"blog-fr-auth-session-missing":3,"blog-index-fr":625},{"id":4,"title":5,"body":6,"category":583,"cover":584,"coverAlt":585,"description":586,"draft":587,"extension":588,"faq":589,"image":604,"keywords":605,"meta":613,"navigation":614,"ogTitle":615,"path":616,"published":617,"seo":618,"stem":619,"tldr":620,"updated":617,"__hash__":624},"blog_fr\u002Fblog\u002Fauth-session-missing.md","Supabase \"Auth session missing!\" : où est passée la session",{"type":7,"value":8,"toc":571},"minimark",[9,13,24,27,43,48,51,54,72,75,81,85,90,108,116,123,150,153,159,169,173,176,185,211,236,245,257,262,266,269,294,300,317,333,337,340,349,359,365,368,374,380,398,408,412,415,432,450,457,461,467,476,490,500,517,521,558],[10,11,12],"p",{},"Votre application Lovable ou Bolt connecte les gens avec Supabase. Un matin,\nvous ouvrez la console du navigateur et trouvez ceci en rouge, sur une page où\nrien n'a l'air faux :",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","AuthSessionMissingError: Auth session missing!\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26],{},"Ou une cliente vous écrit que la page « Choisir un nouveau mot de passe » la\nrefuse avec ces mêmes mots, à chaque fois.",[10,28,29,30,33,34,37,38,42],{},"Cherchez « auth session missing supabase » et vous trouverez des fils remplis de\nsolutions : remplacer ",[21,31,32],{},"getUser()"," par ",[21,35,36],{},"getSession()",", revenir à une ancienne\nversion de la bibliothèque, ajouter un délai, redémarrer le projet. Elles\nsupposent que quelque chose s'est cassé entre votre application et Supabase.\n",[39,40,41],"strong",{},"Aucune requête n'est partie."," L'erreur naît dans votre application, écrite\npar la bibliothèque Supabase, avant que quoi que ce soit ne quitte le\nnavigateur.",[44,45,47],"h2",{"id":46},"que-veut-dire-auth-session-missing-dans-supabase","Que veut dire \"Auth session missing!\" dans Supabase ?",[10,49,50],{},"On a demandé à supabase-js qui était connecté ; elle a cherché une session, n'en\na trouvé aucune et a répondu elle-même.",[10,52,53],{},"Une session, c'est ce que Supabase Auth remet à une personne quand elle se\nconnecte : une paire de jetons qui disent qui elle est, gardés par le navigateur\npour que la page suivante la reconnaisse encore. supabase-js est la bibliothèque\navec laquelle votre application parle à Supabase, et chaque appel qui a besoin\nd'une personne commence par sortir cette session.",[10,55,56,57,60,61,64,65,68,69,71],{},"Le message est écrit dans supabase-js elle-même, dans le fichier ",[21,58,59],{},"errors.ts"," de\nla bibliothèque d'authentification : une ",[21,62,63],{},"AuthSessionMissingError"," avec le texte\n",[21,66,67],{},"Auth session missing!"," et le statut 400. Ce 400 est une étiquette que la\nbibliothèque se donne. Aucun serveur n'a répondu ainsi, et les journaux de\nSupabase ne montreront rien, parce que ",[21,70,32],{}," cherche une session avant\ntoute autre chose. Un commentaire dans son code source le dit : elle renvoie une\nerreur s'il n'y a ni jeton d'accès ni en-tête Authorization personnalisé.",[10,73,74],{},"Imaginez un accueil capable de vous dire quel visiteur est qui. Chaque personne\nqui se connecte reçoit un badge à l'entrée, et supabase-js garde ce badge dans\nla poche du navigateur. Quand votre code demande « qui est-ce ? », supabase-js\nmet d'abord la main à la poche. S'il y a un badge, elle l'apporte à l'accueil et\nrevient avec un nom. Si la poche est vide, elle ne va même pas jusqu'à l'accueil.\nElle revient aussitôt et vous dit qu'il n'y a pas de badge.",[76,77],"diagram",{"alt":78,"caption":79,"src":80},"Deux voies partent d'une fenêtre de navigateur. Sur celle du haut, un badge va jusqu'à un accueil, qui répond avec une personne et une coche. Sur celle du bas, le porte-badge est vide et cerné d'ambre, et la voie s'arrête sur une croix avec 400 à côté, bien avant l'accueil, qui reste pâle et en pointillés.","Avec une session, supabase-js interroge Supabase Auth. Sans session, elle s'arrête dans votre application, et l'erreur vient de là.","\u002Fblog\u002Fauth-session-missing\u002Fthe-empty-pocket-1600x720.png",[44,82,84],{"id":83},"elle-est-renvoyée-pas-levée","Elle est renvoyée, pas levée",[10,86,87,89],{},[21,88,32],{}," renvoie l'erreur à côté d'un utilisateur vide, et c'est votre code\nqui décide de la suite.",[10,91,92,93,96,97,100,101,104,105,107],{},"L'appel ressemble à ceci, et sans session ",[21,94,95],{},"user"," vaut ",[21,98,99],{},"null"," et ",[21,102,103],{},"error"," contient\nl'",[21,106,63],{}," :",[14,109,114],{"className":110,"code":112,"language":113,"meta":23},[111],"language-ts","const { data: { user }, error } = await supabase.auth.getUser()\n","ts",[21,115,112],{"__ignoreMap":23},[10,117,118,119,122],{},"Rien n'est levé, donc un ",[21,120,121],{},"try … catch"," autour de l'appel n'attrape rien. C'est de\nlà que vient le dégât visible, sous l'une de deux formes :",[124,125,126,136],"ul",{},[127,128,129,135],"li",{},[39,130,131,132,134],{},"Le code affiche toute ",[21,133,103],{}," qu'il reçoit."," Un visiteur qui ne s'est pas\nencore connecté voit « Auth session missing! » dans une notification ou un\nencadré rouge, sur une page qu'il avait le droit de voir.",[127,137,138,141,142,145,146,149],{},[39,139,140],{},"Le code utilise l'utilisateur sans vérifier."," Il lit ",[21,143,144],{},"user.id"," et la page\nplante avec ",[21,147,148],{},"Cannot read properties of null",", ce qui ressemble à un tout autre\nbug.",[10,151,152],{},"Les deux sont la même erreur : traiter « personne n'est connecté » comme une\npanne. Vérifiez d'abord l'utilisateur, et donnez à un visiteur non connecté\nl'écran prévu pour lui :",[14,154,157],{"className":155,"code":156,"language":113,"meta":23},[111],"const { data: { user } } = await supabase.auth.getUser()\nif (!user) {\n  \u002F\u002F personne n'est connecté : afficher l'écran de connexion ou la page publique\n  return\n}\n",[21,158,156],{"__ignoreMap":23},[10,160,161,162,96,165,168],{},"Si vous voulez distinguer ce cas d'une vraie panne, la bibliothèque le nomme :\n",[21,163,164],{},"error.name",[21,166,167],{},"'AuthSessionMissingError'",".",[44,170,172],{"id":171},"où-la-session-se-perd","Où la session se perd",[10,174,175],{},"À trois endroits, et seul le premier est sans danger.",[10,177,178,181,182,184],{},[39,179,180],{},"1. Personne ne s'est connecté dans ce navigateur."," Votre application appelle\n",[21,183,32],{}," sur une page que tout le monde peut ouvrir, par exemple pour choisir\nentre « Se connecter » et « Mon compte ». Pour un visiteur, la poche vide est la\nréponse exacte. C'est là que la plupart des gens rencontrent le message, et la\ncorrection du code ci-dessus suffit.",[10,186,187,190,191,194,195,202,203,206,207,210],{},[39,188,189],{},"2. Une page de réinitialisation du mot de passe ou de lien magique."," Choisir\nun nouveau mot de passe appelle ",[21,192,193],{},"updateUser({ password })",", et le\n",[196,197,201],"a",{"href":198,"rel":199},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fpasswords",[200],"nofollow","guide des mots de passe de Supabase","\nest clair sur l'ordre : c'est une fois la session obtenue qu'on recueille le\nnouveau mot de passe et qu'on appelle ",[21,204,205],{},"updateUser",". Sur cette page, la session\ndoit venir du lien de l'e-mail, qui connecte la personne en s'ouvrant. Quand il\nne le fait pas, la poche est vide et ",[21,208,209],{},"updateUser()"," répond « Auth session\nmissing! ». Les raisons habituelles :",[124,212,213,221,224],{},[127,214,215,216,220],{},"Le lien avait déjà servi, ou avait expiré, avant d'être ouvert.\n",[196,217,219],{"href":218},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Pourquoi Supabase dit que le lien de l'e-mail est invalide ou a expiré","\npasse en revue chacune.",[127,222,223],{},"Il a été ouvert dans un autre navigateur ou une autre application que celui\nqui l'a demandé. Quand une application utilise la connexion PKCE de Supabase,\nune partie de l'échange reste dans le navigateur qui l'a commencé, et selon la\ndocumentation de Supabase l'échange du code doit être lancé dans le même\nnavigateur et sur le même appareil que ceux où le parcours a commencé.",[127,225,226,227,230,231,235],{},"Il a envoyé la personne ailleurs, par exemple sur ",[21,228,229],{},"localhost",", si bien que la\nsession est arrivée à une adresse qui n'est pas votre application.\n",[196,232,234],{"href":233},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Pourquoi Supabase redirige vers localhost","\ntraite ce cas.",[10,237,238,241,242,244],{},[39,239,240],{},"3. Votre serveur ou une Edge Function n'a jamais reçu la session."," Le badge\nest dans le navigateur de votre visiteur. Le code qui tourne ailleurs, une Edge\nFunction Supabase ou la moitié serveur d'une application Next.js faite avec v0\nou Cursor, crée son propre client Supabase, et un nouveau client commence avec\nune poche vide. Tant que la session du visiteur ne lui est pas transmise,\n",[21,243,32],{}," n'y trouve rien et répond « Auth session missing! » sans interroger\nSupabase.",[10,246,247,248,251,252,256],{},"Dans une Edge Function, la session voyage dans l'en-tête ",[21,249,250],{},"Authorization"," de la\nrequête, et supabase-js ne l'utilise que si vous la lui passez en créant le\nclient. Dans une application Next.js, elle voyage dans des cookies, que l'outil\nserveur de Supabase ne lit que si vous lui donnez ceux de la requête. Si une Edge\nFunction renvoie cet échec comme une erreur, votre application affiche\n",[196,253,255],{"href":254},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\"",",\navec ce message qui attend dans le journal de la fonction.",[76,258],{"alt":259,"caption":260,"src":261},"Une personne devant une fenêtre de navigateur, badge sur elle, envoie deux requêtes à une Edge Function. Sur la voie du haut, la requête arrive sans le badge, le porte-badge de la fonction est vide et cerné d'ambre, et la voie se termine sur une croix. Sur la voie du bas, le badge voyage avec la requête sous l'étiquette Authorization, le porte-badge de la fonction est rempli, et l'accueil répond avec une coche.","La session appartient au navigateur. Une fonction ou un serveur ne l'a que si la requête l'apporte et que le code la transmet à son client.","\u002Fblog\u002Fauth-session-missing\u002Fthe-badge-stays-behind-1600x760.png",[44,263,265],{"id":264},"comment-savoir-quel-cas-est-le-vôtre","Comment savoir quel cas est le vôtre",[10,267,268],{},"Regardez où le message apparaît, puis ce que le navigateur a réellement envoyé.",[10,270,271,274,275,278,279,282,283,286,287,290,291,168],{},[39,272,273],{},"Dans la console du navigateur, sur une page ouverte à tous."," Cas 1. Ouvrez\nles outils de développement de votre navigateur (F12), choisissez\n",[39,276,277],{},"Application",", puis ",[39,280,281],{},"Local Storage"," et l'adresse de votre application.\nsupabase-js garde la session sous une clé formée de ",[21,284,285],{},"sb-",", de l'identifiant de\nvotre projet et de ",[21,288,289],{},"-auth-token",". S'il n'y a pas d'entrée de ce genre, ce\nnavigateur n'a pas de session, et le message dit vrai. Une application Next.js\nqui utilise les outils serveur de Supabase garde la session dans des cookies à\nla place : cherchez le même nom sous ",[39,292,293],{},"Cookies",[10,295,296,299],{},[39,297,298],{},"Sur une page de réinitialisation ou de lien magique."," Cas 2. Regardez\nl'adresse sur laquelle le lien s'est ouvert. Si ce n'est pas votre application,\nou si c'est un lien que vous ou un scanner de messagerie aviez déjà ouvert, la\nsession n'a jamais eu la moindre chance d'arriver.",[10,301,302,305,306,309,310,312,313,316],{},[39,303,304],{},"Dans le journal d'une Edge Function, ou de votre serveur."," Cas 3. Ouvrez\nl'onglet ",[39,307,308],{},"Network",", refaites l'action et cliquez sur la requête vers votre\nfonction. Si son en-tête ",[21,311,250],{}," contient une longue chaîne qui commence\npar ",[21,314,315],{},"eyJ",", le navigateur a envoyé le jeton d'une personne, et votre fonction ne\nl'a pas transmis à son client.",[10,318,319,320,323,324,327,328,332],{},"Ce que vous ne trouverez sur aucune voie, c'est une requête vers ",[21,321,322],{},"\u002Fauth\u002Fv1\u002Fuser","\nrevenue avec ce message. Si vous en voyez une qui a échoué, c'est une autre\nerreur. Une réponse disant ",[21,325,326],{},"invalid claim: missing sub claim"," signifie que la clé\nde votre projet a été envoyée là où devait se trouver une personne, et\n",[196,329,331],{"href":330},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","cet article"," est son jumeau.",[44,334,336],{"id":335},"la-solution-pour-chaque-cas","La solution pour chaque cas",[10,338,339],{},"Donnez à chacun la session qui lui manque, ou une réponse qui n'en a pas besoin.",[10,341,342,345,346,348],{},[39,343,344],{},"Cas 1, le visiteur non connecté :"," vérifiez ",[21,347,95],{}," avant de l'utiliser, comme\ndans le code ci-dessus, et affichez l'écran prévu pour quelqu'un qui ne s'est\npas connecté.",[10,350,351,354,355,358],{},[39,352,353],{},"Cas 2, la page de réinitialisation :"," attendez que le lien ait connecté la\npersonne avant d'afficher le formulaire. Supabase émet un événement\n",[21,356,357],{},"PASSWORD_RECOVERY"," quand quelqu'un arrive par un lien de récupération, et sa\nréférence montre la page qui l'attend :",[14,360,363],{"className":361,"code":362,"language":113,"meta":23},[111],"supabase.auth.onAuthStateChange((event) => {\n  if (event === 'PASSWORD_RECOVERY') {\n    \u002F\u002F le lien a connecté la personne : afficher maintenant le formulaire du nouveau mot de passe\n  }\n})\n",[21,364,362],{"__ignoreMap":23},[10,366,367],{},"Si l'événement ne vient jamais, le lien n'a pas fonctionné. Dites-le et proposez\nd'en envoyer un nouveau, plutôt que d'afficher un formulaire voué à l'échec.",[10,369,370,373],{},[39,371,372],{},"Cas 3, la fonction ou le serveur :"," transmettez la session du visiteur au\nclient que vous créez. Dans une Edge Function, créez-le avec l'en-tête reçu :",[14,375,378],{"className":376,"code":377,"language":113,"meta":23},[111],"const supabase = createClient(\n  Deno.env.get('SUPABASE_URL')!,\n  Deno.env.get('SUPABASE_ANON_KEY')!,\n  { global: { headers: { Authorization: req.headers.get('Authorization')! } } },\n)\nconst { data: { user } } = await supabase.auth.getUser()\nif (!user) {\n  return new Response(JSON.stringify({ error: 'Sign in first' }), {\n    status: 401,\n    headers: { ...corsHeaders, 'Content-Type': 'application\u002Fjson' },\n  })\n}\n",[21,379,377],{"__ignoreMap":23},[10,381,382,383,386,387,391,392,394,395,397],{},"Le wrapper plus récent de Supabase, ",[21,384,385],{},"withSupabase({ auth: 'user' })",", fait la\nmême chose avant que votre gestionnaire ne s'exécute, et\n",[196,388,390],{"href":389},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","l'article sur les Edge Functions","\nmontre la mise en place. Gardez le 401 pour un appelant sans session, afin\nqu'une requête venue d'une page non connectée reçoive un refus clair. Avec\nl'en-tête transmis, ",[21,393,32],{}," peut y renvoyer à la place\n",[21,396,326],{}," pour un appelant non connecté : le même\nvisiteur vu de l'autre côté, et le 401 couvre les deux.",[10,399,400,401,404,405,407],{},"Dans une application Next.js, créez le client serveur avec l'outil\n",[21,402,403],{},"@supabase\u002Fssr"," de Supabase et les cookies de la requête, comme le montre sa\nmise en place côté serveur, et appelez ",[21,406,32],{}," sur ce client.",[44,409,411],{"id":410},"deux-solutions-qui-aggravent-les-choses","Deux solutions qui aggravent les choses",[10,413,414],{},"Les deux sont proposées pour ce message, et chacune arrête l'erreur en retirant\nla vérification qui se trouve derrière.",[10,416,417,424,425,428,429,431],{},[39,418,419,420,33,422,168],{},"Remplacer ",[21,421,32],{},[21,423,36],{}," Dans le navigateur, cela ne change\nrien d'important : le stockage est toujours vide, vous n'obtenez ni session ni\nutilisateur, simplement sans le message. Sur un serveur, c'est dangereux. Le\nguide côté serveur de Supabase dit de ne jamais faire confiance à\n",[21,426,427],{},"supabase.auth.getSession()"," dans du code serveur, parce qu'elle lit la session\ndans le cookie sans la revalider. Un cookie, c'est le visiteur qui vous\nl'envoie, et n'importe qui peut vous envoyer n'importe quel cookie. ",[21,430,32],{},"\nest la méthode dont supabase-js documente qu'elle fait une requête au serveur de\nSupabase Auth, si bien que son résultat est authentique. Gardez-la partout où la\nréponse décide de ce que quelqu'un a le droit de faire.",[10,433,434,437,438,441,442,445,446,168],{},[39,435,436],{},"Mettre la clé secrète dans le client pour que l'appel cesse d'échouer."," Un\nclient créé avec la clé ",[21,439,440],{},"service_role"," ou ",[21,443,444],{},"sb_secret_"," n'a pas besoin de session\npour lire et écrire, parce qu'il passe outre toutes les règles de votre base. La\nfonction remarche, pour tout appelant, connecté ou non. Si un builder fait ce\nchangement dans du code qui part vers le navigateur, la clé part avec, chez\nchaque visiteur. Si c'est déjà fait, ",[196,447,449],{"href":448},"\u002Fblog\u002Frotate-supabase-service-role-key","faites-la tourner d'abord",[10,451,452,453,168],{},"Cela se vérifie de l'extérieur. Notre scan gratuit lit le JavaScript de votre\napplication en ligne comme le ferait un inconnu et nomme chaque clé qu'il\ntrouve, en précisant si elle a sa place là. Il prend une vingtaine de secondes\net ne demande aucun compte : ",[196,454,456],{"href":455},"\u002Fsecurity-scanner","scannez votre app",[44,458,460],{"id":459},"garder-la-vérification-après-le-prochain-changement","Garder la vérification après le prochain changement",[10,462,463,466],{},[39,464,465],{},"La vérification de qui est connecté est la partie d'une page la plus\nsusceptible de disparaître quand vous demandez à votre builder de faire\ndisparaître une erreur",", et les deux solutions rapides ci-dessus la retirent.",[10,468,469],{},[39,470,471,475],{},[196,472,474],{"href":473},"\u002Fwebsite-monitoring","Reeve Monitor"," rescanne votre app en ligne toutes les heures :",[124,477,478,481,484,487],{},[127,479,480],{},"les neuf vérifications toutes les heures, sur trois apps au plus",[127,482,483],{},"un e-mail le jour où un nouveau scan note votre app moins bien que le précédent ; une clé secrète dans votre JavaScript plafonne à elle seule la note à D",[127,485,486],{},"si l'app répond, toutes les 60 secondes",[127,488,489],{},"un rapport mensuel de ce qui a été vu",[10,491,492],{},[39,493,494,495,499],{},"Un serveur qui croit n'importe quel cookie, ou une fonction qui tourne avec la\nclé secrète, laisse un inconnu modifier les lignes de vos utilisateurs.\n",[196,496,498],{"href":497},"\u002Fsupabase-backups","Reeve Care"," garde une copie de votre base Supabase\nd'avant.",[124,501,502,505,508,511,514],{},[127,503,504],{},"une copie chiffrée selon un calendrier, conservée sur le stockage de Reeve dans l'UE, en dehors de votre compte Supabase",[127,506,507],{},"chaque copie vérifiée avant de compter, en comptant les lignes de chaque table",[127,509,510],{},"une restauration en un clic qui sauvegarde ce qui est là avant de le remplacer",[127,512,513],{},"vos fichiers téléversés aussi, dès que vous connectez un accès Storage",[127,515,516],{},"tout ce que fait Monitor",[44,518,520],{"id":519},"que-faire-maintenant","Que faire maintenant",[522,523,524],"key-takeaways",{},[124,525,526,529,537,543,549],{},[127,527,528],{},"Lisez « Auth session missing! » comme « personne n'est connecté ici ». La requête n'a jamais quitté votre application.",[127,530,531,532,96,534,536],{},"Vérifiez si ",[21,533,95],{},[21,535,99],{}," avant de l'utiliser, et donnez à un visiteur non connecté l'écran prévu pour lui plutôt que l'erreur.",[127,538,539,540,542],{},"Sur une page de réinitialisation, attendez l'événement ",[21,541,357],{}," avant d'afficher le formulaire, et proposez un nouveau lien s'il n'arrive jamais.",[127,544,545,546,548],{},"Dans une Edge Function ou sur un serveur, transmettez l'en-tête ",[21,547,250],{}," ou les cookies du visiteur au client que vous créez, et répondez 401 s'il n'y a toujours pas d'utilisateur.",[127,550,551,552,554,555,557],{},"Gardez ",[21,553,32],{}," sur le serveur. Là-bas, ",[21,556,36],{}," croit n'importe quel cookie qu'on lui envoie.",[10,559,560,561,565,566,570],{},"Si vos sessions existent puis disparaissent, si bien que des gens connectés se\nretrouvent soudain déconnectés, c'est un autre problème avec ses propres causes,\net ",[196,562,564],{"href":563},"\u002Fblog\u002Fsupabase-users-logged-out","pourquoi les utilisateurs Supabase sont déconnectés","\nle traite. La ",[196,567,569],{"href":568},"\u002Fchecklist","liste de sécurité en 10 minutes"," couvre ce qu'une\napplication tout juste lancée laisse souvent ouvert par ailleurs.",{"title":23,"searchDepth":572,"depth":572,"links":573},3,[574,576,577,578,579,580,581,582],{"id":46,"depth":575,"text":47},2,{"id":83,"depth":575,"text":84},{"id":171,"depth":575,"text":172},{"id":264,"depth":575,"text":265},{"id":335,"depth":575,"text":336},{"id":410,"depth":575,"text":411},{"id":459,"depth":575,"text":460},{"id":519,"depth":575,"text":520},"Bases de la sécurité","\u002Fblog\u002Fauth-session-missing\u002Fcover-1200x630.png","Un porte-badge vide au bout d'un cordon, la place du badge cernée d'ambre, devant deux badges qui portent un visage.","\"Auth session missing!\" : supabase-js n'a trouvé aucune session connectée et n'a même pas interrogé Supabase. Où est passée la session, et la solution.",false,"md",[590,592,595,598,601],{"q":47,"a":591},"Cela veut dire que supabase-js, la bibliothèque Supabase de votre application, a été interrogée sur l'utilisateur connecté et n'avait aucune session avec laquelle poser la question. Une session, c'est ce que Supabase Auth remet à une personne quand elle se connecte, et la bibliothèque la garde dans le navigateur. S'il n'y en a pas, elle ne contacte pas Supabase du tout. Elle renvoie AuthSessionMissingError avec le statut 400 et un utilisateur à null.",{"q":593,"a":594},"Pourquoi je vois \"Auth session missing!\" quand personne n'est connecté ?","Parce que c'est la réponse pour un visiteur qui ne s'est pas connecté. Votre application a appelé getUser() sur une page que n'importe qui peut ouvrir, et supabase-js a signalé que personne n'était connecté. Rien n'est cassé. Votre code n'a qu'à lire l'utilisateur comme null et afficher l'écran de connexion, au lieu d'afficher l'erreur.",{"q":596,"a":597},"Pourquoi ma page de réinitialisation du mot de passe affiche \"Auth session missing!\" ?","Changer un mot de passe avec updateUser() demande une session, et sur une page de réinitialisation cette session doit venir du lien de l'e-mail. Si le lien avait déjà servi ou expiré, s'il a été ouvert dans un autre navigateur que celui qui l'a demandé, ou s'il a envoyé la personne vers une autre adresse, aucune session n'est arrivée et updateUser() n'a personne à modifier. Attendez l'événement PASSWORD_RECOVERY avant d'afficher le formulaire, et proposez un nouveau lien s'il ne vient jamais.",{"q":599,"a":600},"Est-ce la même chose que \"invalid claim: missing sub claim\" ?","Non. \"Auth session missing!\" est décidé dans votre application, avant qu'aucune requête n'en sorte. \"invalid claim: missing sub claim\" revient de Supabase Auth, qui a reçu une requête et trouvé la clé de votre projet là où devait se trouver le jeton d'une personne. Le premier veut dire qu'il n'y avait rien à envoyer. Le second, qu'on a envoyé la mauvaise chose.",{"q":602,"a":603},"Faut-il utiliser getSession() au lieu de getUser() ?","Pas pour faire disparaître cette erreur. Dans le navigateur, getSession() trouve le même stockage vide et ne renvoie aucune session, donc rien ne change sauf que le message s'arrête. Sur un serveur, c'est pire : supabase-js documente que getSession() lit la session directement dans le stockage, par exemple les cookies de la requête, qui peuvent ne pas être authentiques, et recommande getUser() à la place parce qu'il vérifie auprès de Supabase Auth.","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",[606,607,608,609,610,611,612],"auth session missing supabase","AuthSessionMissingError: Auth session missing!","supabase getuser auth session missing","supabase updateuser auth session missing","supabase réinitialisation mot de passe auth session missing","supabase edge function auth session missing","supabase ssr auth session missing",{},true,"\"Auth session missing!\" dans Supabase","\u002Fblog\u002Fauth-session-missing","2026-11-05",{"title":5,"description":586},"blog\u002Fauth-session-missing",[621,622,623],"\"Auth session missing!\" (AuthSessionMissingError, statut 400) vient de supabase-js, dans votre application. La bibliothèque a cherché une session connectée, n'en a trouvé aucune et n'a jamais envoyé la requête à Supabase.","Sur une page où personne ne s'est connecté, c'est la bonne réponse, et votre code n'a qu'à la traiter. Sur une page de réinitialisation du mot de passe, cela veut dire que le lien n'a connecté personne ici. Dans une Edge Function ou sur un serveur, la session du visiteur n'a jamais été transmise.","Gardez getUser(). Remplacer par getSession() sur un serveur fait disparaître l'erreur en croyant tout ce que dit le cookie.","2DqArxR1ToRg-5ni_SRn4jBU1yIA4h3UOPJBqhWQlM4",[626,632,638,644,650,651,656,662,667,672,678,685,691,697,702,708,714,720,726,732,738,744,749,755,761,767,773,779,785,791,797,803,809,815,821,827,832,838,844,850,856,862,868,874,880,886,891,897,903,909,915,921,927,933,939,945,951,957,963,969,975,981,987,993,998,1004,1010,1016,1022,1028,1034,1040,1046,1052,1058,1064,1070,1076,1082,1088,1094,1100,1106,1112,1117,1123,1129,1135,1140,1146],{"path":627,"title":628,"description":629,"published":630,"category":583,"image":631,"draft":587},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\" expliqué","Supabase \"max client connections reached\" : le pooler n'a plus de place pour un client de plus. Le port de votre chaîne de connexion fixe la limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":633,"title":634,"description":635,"published":636,"category":583,"image":637,"draft":587},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Erreur Supabase : \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\" : la connexion Google est désactivée dans votre projet Supabase. Comment l'activer, et redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":639,"title":640,"description":641,"published":642,"category":583,"image":643,"draft":587},"\u002Fblog\u002Fviolates-foreign-key-constraint","Erreur Supabase \"violates foreign key constraint\" à l'insertion","Supabase \"insert or update on table violates foreign key constraint\" : votre ligne pointe vers une ligne absente. Laquelle, pourquoi, et la solution.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":645,"title":646,"description":647,"published":648,"category":583,"image":649,"draft":587},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Erreur Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\" : une colonne obligatoire est arrivée vide. D'où vient le null, et la solution.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":616,"title":5,"description":586,"published":617,"category":583,"image":604,"draft":587},{"path":330,"title":652,"description":653,"published":654,"category":583,"image":655,"draft":587},"Supabase \"invalid claim: missing sub claim\" : personne de connecté","\"invalid claim: missing sub claim\" : Supabase Auth a reçu un vrai jeton qui ne nomme personne, la clé du projet à la place d'une session.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":657,"title":658,"description":659,"published":660,"category":583,"image":661,"draft":587},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\" : la vraie cause","\"Failed to send a request to the Edge Function\" : le navigateur n'a reçu aucune réponse lisible. Sa console dit pourquoi, et si votre fonction a tourné.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":233,"title":663,"description":664,"published":665,"category":583,"image":666,"draft":587},"Pourquoi les liens e-mail de Supabase redirigent vers localhost:3000","Si Supabase redirige vers localhost:3000, la Site URL n'a jamais été changée ou votre adresse manque dans Redirect URLs. La solution, et le joker à éviter.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":218,"title":668,"description":669,"published":670,"category":583,"image":671,"draft":587},"Supabase \"Email link is invalid or has expired\" sur un lien neuf","Sur un lien envoyé il y a une minute, \"Email link is invalid or has expired\" de Supabase signifie souvent qu'un filtre de messagerie l'a utilisé avant.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":673,"title":674,"description":675,"published":676,"category":583,"image":677,"draft":587},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\" expliqué","Supabase \"canceling statement due to statement timeout\" : une requête a dépassé la limite de son rôle, 3 secondes pour un visiteur. Vérifiez la règle RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":679,"title":680,"description":681,"published":682,"category":683,"image":684,"draft":587},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" sur Supabase, et ce qui part avec","\"Database error deleting user\" sur Supabase : votre base a refusé la suppression. La cause est dans vos logs, et la solution décide de ce qui part avec.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":686,"title":687,"description":688,"published":689,"category":583,"image":690,"draft":587},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" sur Supabase","Un webhook Stripe dans une Edge Function Supabase affiche \"No signatures found matching the expected signature\" ? Deux causes. Gardez la vérification.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":692,"title":693,"description":694,"published":695,"category":583,"image":696,"draft":587},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" dans Supabase : les trois causes","Supabase répond \"Invalid login credentials\" à un mauvais mot de passe, un e-mail inconnu et un compte Google. Comment savoir lequel.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":254,"title":698,"description":699,"published":700,"category":583,"image":701,"draft":587},"\"Edge Function returned a non-2xx status code\" : la vraie erreur","\"Edge Function returned a non-2xx status code\" signifie que votre fonction Supabase a répondu par une erreur. Voici où lire la vraie.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":703,"title":704,"description":705,"published":706,"category":583,"image":707,"draft":587},"\u002Fblog\u002Fcertificate-not-trusted","Certificat non approuvé : trois causes autres que l’expiration","Certificat non approuvé alors que la date est bonne ? Il nomme une autre adresse, il s’est signé lui-même ou il manque un maillon à sa chaîne.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":709,"title":710,"description":711,"published":712,"category":583,"image":713,"draft":587},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\" : lisez les guillemets","Supabase \"invalid input syntax for type uuid\" : votre app a envoyé autre chose qu'un id. Lisez les guillemets, retenez la requête, gardez la colonne.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":715,"title":716,"description":717,"published":718,"category":583,"image":719,"draft":587},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\" expliqué","Supabase \"duplicate key value violates unique constraint\" : la valeur est déjà prise. Trouver la colonne, choisir un correctif, garder la valeur hors écran.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":721,"title":722,"description":723,"published":724,"category":583,"image":725,"draft":587},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" alors que la table existe","Supabase \"relation does not exist\" ou PGRST205 : aucune table ne porte ce nom dans ce schéma. Quatre vérifications, et ce qu'ouvre un schéma exposé.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":727,"title":728,"description":729,"published":730,"category":583,"image":731,"draft":587},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" cite les noms d'arguments envoyés par votre application. Comparez-les à la fonction.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":733,"title":734,"description":735,"published":736,"category":583,"image":737,"draft":587},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" vient le plus souvent du nom. Quatre vérifications, et la ligne qui recharge le cache.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":739,"title":740,"description":741,"published":742,"category":583,"image":743,"draft":587},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\" : deux limites, un code","Supabase \"Email Rate Limit Exceeded\" plafonne chaque e-mail de votre projet : 2 par heure avec l'expéditeur intégré. Ce qui compte, et comment le relever.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":563,"title":745,"description":746,"published":747,"category":583,"image":748,"draft":587},"Supabase \"Invalid Refresh Token: Refresh Token Not Found\" : 3 causes","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" déconnecte vos utilisateurs. Trois causes, et comment le log Auth les distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":750,"title":751,"description":752,"published":753,"category":583,"image":754,"draft":587},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\" : trois causes","Supabase \"permission denied for schema public\" signale un grant manquant sur le schéma. Ce qui l'a retiré, et la ligne qui le remet.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":756,"title":757,"description":758,"published":759,"category":583,"image":760,"draft":587},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\" : les trois choses que cela veut dire","Supabase \"Bucket not found\", c'est une de trois choses : un lien public vers un bucket privé, un nom pas tout à fait exact, ou le mauvais projet.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":762,"title":763,"description":764,"published":765,"category":583,"image":766,"draft":587},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT : quelle clé a cessé de marcher ?","Une erreur Supabase invalid JWT, c'est PGRST301 : un jeton signé n'a pas passé la vérification. Sur un projet récent, c'est la session, pas la clé API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":768,"title":769,"description":770,"published":771,"category":583,"image":772,"draft":587},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" veut dire zéro ligne","Supabase renvoie PGRST116, \"JSON object requested, multiple (or no) rows returned\", quand la requête n'a rien trouvé. Une ligne cachée semble absente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":774,"title":775,"description":776,"published":777,"category":583,"image":778,"draft":587},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" sur Supabase : où regarder","\"Database error saving new user\" veut dire que quelque chose rattaché à votre inscription Supabase a échoué. La vraie erreur est dans vos logs.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":780,"title":781,"description":782,"published":783,"category":583,"image":784,"draft":587},"\u002Fblog\u002Fwhat-is-supabase","Qu'est-ce que Supabase ? La base que votre builder a choisie","Qu'est-ce que Supabase : la base de données, la connexion et le stockage de fichiers de votre app. Les règles sur qui lit vos lignes sont à vous.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":786,"title":787,"description":788,"published":789,"category":583,"image":790,"draft":587},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Une clé AWS exposée dans le frontend n'est pas une clé OpenAI","Une clé d'accès AWS exposée dans votre frontend lit et écrit votre stockage. La solution est en général une presigned URL, pas une nouvelle clé.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":792,"title":793,"description":794,"published":795,"category":583,"image":796,"draft":587},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" à l'upload","\"New row violates row-level security policy for table objects\" signifie que votre upload n'a pas de règle insert. Rendre le bucket public n'en ajoute aucune.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":798,"title":799,"description":800,"published":801,"category":583,"image":802,"draft":587},"\u002Fblog\u002Fbase44-security-scan","Scan de sécurité Base44 : ce que lui seul peut voir","Le scan de sécurité Base44 vérifie sept types de problèmes depuis l’intérieur. Voici la moitié que lui seul lit, et celle qu’il ne regarde jamais.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":804,"title":805,"description":806,"published":807,"category":583,"image":808,"draft":587},"\u002Fblog\u002Fapi-key-leaked-what-to-do","Votre clé API a fuité. L'ordre dans lequel agir","Une clé API a fuité et vous ne savez pas par quoi commencer. Toutes les clés de votre frontend n'en sont pas une, et l'ordre compte plus que la vitesse.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":810,"title":811,"description":812,"published":813,"category":583,"image":814,"draft":587},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" sans désactiver RLS","\"Infinite recursion detected in policy for relation\" signifie que votre policy a interrogé la table qu'elle protège. Voici comment rompre le cercle.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":816,"title":817,"description":818,"published":819,"category":583,"image":820,"draft":587},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" sur Supabase, et le mauvais correctif","\"No API key found in request\" veut dire que votre requête est arrivée sans clé. La plupart des réponses pointent vers les règles de votre base.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":822,"title":823,"description":824,"published":825,"category":583,"image":826,"draft":587},"\u002Fblog\u002Fis-base44-safe","Base44 est-il sûr ? Ce que 5 442 applications ont montré","Base44 est-il sûr ? Neuf vérifications sur 5 442 applications Base44 en ligne. Presque toutes ont eu un B, pour des raisons que personne n’a choisies.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":389,"title":828,"description":829,"published":830,"category":583,"image":831,"draft":587},"Cacher une clé API : la déplacer dans une Edge Function Supabase","Cacher une clé API veut dire la sortir du navigateur, et une Edge Function Supabase est le plus petit endroit où la mettre. Deux étapes comptent davantage.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":833,"title":834,"description":835,"published":836,"category":583,"image":837,"draft":587},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Votre fichier .env est-il exposé ? Les douze chemins à vérifier","Votre fichier .env est-il exposé sur votre propre serveur web ? Douze adresses vous le disent, et une réponse signifie que tout son contenu est public.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":839,"title":840,"description":841,"published":842,"category":583,"image":843,"draft":587},"\u002Fblog\u002Fis-v0-safe","Sécurité de v0 : les 1 790 applications scannées ont toutes eu A","La sécurité de v0 mesurée sur 1 790 applications en ligne : toutes ont eu A. Seules 17 citaient une base de données, et c’est surtout cela que ce A mesure.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":845,"title":846,"description":847,"published":848,"category":583,"image":849,"draft":587},"\u002Fblog\u002Fis-bolt-safe","Bolt est-il sûr ? Ce que 1 123 applications Bolt ont montré","Bolt est-il sûr ? Neuf vérifications sur 1 123 applications Bolt en ligne. L’hébergement était propre. Les trouvailles : des clés et des tables ouvertes.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":851,"title":852,"description":853,"published":854,"category":583,"image":855,"draft":587},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase en panne, ou est-ce votre app ? Comment le savoir","Supabase est-il en panne, ou est-ce votre app ? Un projet en pause, une base pleine et un bug chez vous se ressemblent. Quatre vérifications les séparent.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":857,"title":858,"description":859,"published":860,"category":583,"image":861,"draft":587},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase chiffre-t-il mes données ? Oui. Ce que cela arrête","Supabase chiffre-t-il les données ? Oui : AES-256 au repos, TLS en transit, SOC 2 et ISO 27001. Ce que couvre chacun, et la fuite qu'aucun n'arrête.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":863,"title":864,"description":865,"published":866,"category":583,"image":867,"draft":587},"\u002Fblog\u002Fsupabase-free-plan-limits","Limites du plan gratuit Supabase : ce qui se passe à chacune","Les limites du plan gratuit Supabase : 500 Mo de base, 5 Go d'egress, aucune sauvegarde. Ce qui se passe à chaque seuil, et ce que change Pro à $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":869,"title":870,"description":871,"published":872,"category":683,"image":873,"draft":587},"\u002Fblog\u002Ftest-your-supabase-backup","Testez votre sauvegarde Supabase avant d'en avoir besoin","Comment tester votre sauvegarde Supabase : la restaurer dans un projet d'exercice, compter les lignes, se connecter, chercher la ligne qui manque.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":875,"title":876,"description":877,"published":878,"category":683,"image":879,"draft":587},"\u002Fblog\u002Fsupabase-backup-github-action","Sauvegarde Supabase gratuite avec une GitHub Action, et le piège","Une sauvegarde Supabase par GitHub Action est gratuite et convient à beaucoup d'apps. Le workflow, la bonne connection string et l'egress de chaque run.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":881,"title":882,"description":883,"published":884,"category":683,"image":885,"draft":587},"\u002Fblog\u002Fdownload-your-supabase-backup","Pourquoi vous ne pouvez pas télécharger votre sauvegarde Supabase","Impossible de télécharger votre sauvegarde Supabase sur un projet récent : la copie quotidienne est physique. Comment le vérifier et garder la vôtre.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":887,"title":888,"description":889,"published":884,"category":583,"image":890,"draft":587},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\" : le grant manquant","Dès le 30 octobre, une nouvelle table Supabase répond \"permission denied for table\" tant que l'accès n'est pas accordé. Le grant de l'e-mail est la moitié.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":892,"title":893,"description":894,"published":895,"category":583,"image":896,"draft":587},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint d'API ouvert est-il un problème de sécurité ?","Votre scan a signalé un endpoint d'API ouvert. Que cela compte dépend de ce qui est revenu, et la plupart de ceux trouvés étaient à la plateforme.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":898,"title":899,"description":900,"published":901,"category":583,"image":902,"draft":587},"\u002Fblog\u002Flovable-security-scan","Scan de sécurité Lovable : ce qu’il ne peut pas prouver","Scan de sécurité Lovable : ce que vérifient le Quick scan et le Deep scan, quand chacun part, et la seule chose qu’un scan de l’intérieur ne prouve pas.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":904,"title":905,"description":906,"published":907,"category":683,"image":908,"draft":587},"\u002Fblog\u002Fsupabase-backup-auth-users","Pourquoi votre dump Supabase ne contient aucun utilisateur","Lancez supabase db dump tout seul et vous obtenez la forme de votre base et aucune de ses lignes, sans le schéma auth où vivent vos utilisateurs.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":910,"title":911,"description":912,"published":913,"category":583,"image":914,"draft":587},"\u002Fblog\u002Fdomain-and-certificate-expiry","Domaine expiré, site hors ligne : ce qui se passe ensuite","Votre domaine a expiré et votre site est hors ligne. Le compte à rebours qui démarre, pourquoi le certificat est le moindre souci, et comment vérifier les deux.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":916,"title":917,"description":918,"published":919,"category":583,"image":920,"draft":587},"\u002Fblog\u002Fis-lovable-safe","Lovable est-il sûr ? Ce que 18 554 applications Lovable ont montré","Lovable est-il sûr ? 18 554 applications, neuf vérifications. La plateforme était la plus propre des cinq. Les trouvailles étaient dans les applications.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":922,"title":923,"description":924,"published":925,"category":583,"image":926,"draft":587},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist de sécurité du vibe coding, en neuf vérifications","Une checklist de sécurité du vibe coding en neuf points, chacun vérifiable de l’extérieur sur votre appli en ligne, et chacun avec un test d’une ligne.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":928,"title":929,"description":930,"published":931,"category":583,"image":932,"draft":587},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Une clé secrète Stripe dans votre frontend peut déplacer de l’argent","Une clé secrète Stripe exposée dans votre frontend peut rembourser, débiter et lire chaque fiche client que vous détenez. Votre clé pk_live_ y a sa place.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":934,"title":935,"description":936,"published":937,"category":583,"image":938,"draft":587},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variables d’environnement Vite exposées : le préfixe dit publier","Variables d’environnement Vite exposées : votre appli a fait ce que le préfixe demandait. VITE_ et NEXT_PUBLIC_ veulent dire publier, et l’IA ignorait le prix.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":940,"title":941,"description":942,"published":943,"category":583,"image":944,"draft":587},"\u002Fblog\u002Fbase44-source-maps","Sécurité Base44 : ce qu’un scan signale, et ce qui dépend de vous","Sécurité Base44 sur 5 438 applis : trois signalements sur presque chacune sont ceux de la plateforme, la source map est le badge Base44, votre part est courte.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":946,"title":947,"description":948,"published":949,"category":583,"image":950,"draft":587},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI est-il sûr ? L’éditeur, le code et l’appli publiée","Cursor AI est-il sûr ? Trois questions dans une recherche : ce que Cursor garde, ce que son code rate, et si l’appli que vous avez publiée est ouverte.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":952,"title":953,"description":954,"published":955,"category":583,"image":956,"draft":587},"\u002Fblog\u002Fis-replit-safe","Replit est-il sûr ? Ce que 3 042 applications Replit nous ont montré","Replit est-il sûr ? 3 042 applications Replit en ligne, neuf vérifications externes. Les trouvailles étaient dans l’application publiée, pas chez l’hébergeur.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":958,"title":959,"description":960,"published":961,"category":683,"image":962,"draft":587},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup : votre copie de base n'a aucun fichier","Un Supabase storage backup est une tâche à part. Les sauvegardes de la base gardent la liste de vos fichiers et aucun des fichiers, donc chaque upload casse.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":964,"title":965,"description":966,"published":967,"category":683,"image":968,"draft":587},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery Supabase : prix et limites","Le point-in-time recovery de Supabase rembobine votre base à la seconde près sur la dernière semaine. $100 par mois en plus de Pro, et rien que la base.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":970,"title":971,"description":972,"published":973,"category":683,"image":974,"draft":587},"\u002Fblog\u002Fsupabase-project-paused-recover","Projet Supabase en pause ? Vos données sont toujours là","Supabase a mis votre projet en pause après une semaine sans activité. Rien n'est supprimé, Restaurer est à côté du nom, et vous avez un an pour cliquer.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":976,"title":977,"description":978,"published":979,"category":583,"image":980,"draft":587},"\u002Fblog\u002Fsafest-ai-app-builder","Quel builder d'app IA est le plus sûr ? 30 998 apps testées","Quel builder d'app IA est le plus sûr ? Nous avons scanné 30 998 apps actives de Lovable, Base44, Replit, v0 et Bolt. Ce n'est pas le builder qui décide.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":982,"title":983,"description":984,"published":985,"category":583,"image":986,"draft":587},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Activer Row Level Security sur chaque table Supabase, et le prouver","Activer Row Level Security dans Supabase sans politique ferme la table entièrement. Une politique sans le réglage ne fait rien. Voici le SQL, et le test.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":988,"title":989,"description":990,"published":991,"category":583,"image":992,"draft":587},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\" : ce que l'alerte rate","Supabase signale \"RLS disabled in public\" comme une erreur. Elle ne dit rien de la politique de lecture qui laisse votre table tout aussi ouverte.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":448,"title":994,"description":995,"published":996,"category":583,"image":997,"draft":587},"Faire tourner une clé service_role Supabase qui a fuité","Supabase dit de colmater la fuite d'abord. D'autres guides disent de faire tourner la clé tout de suite. Tout dépend d'où votre clé service_role a fuité.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":999,"title":1000,"description":1001,"published":1002,"category":583,"image":1003,"draft":587},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanners de sécurité vibe coding comparés, le nôtre compris","Le meilleur scanner de sécurité vibe coding tient à trois questions qu'aucune liste de fonctions ne traite. Huit outils comparés, avec les prix.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":1005,"title":1006,"description":1007,"published":1008,"category":583,"image":1009,"draft":587},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker : les cinq vérifications à faire soi-même","Un Supabase security checker lit votre app publiée plutôt que les réglages de votre projet. Voici les cinq vérifications, et comment faire chacune vous-même.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":1011,"title":1012,"description":1013,"published":1014,"category":583,"image":1015,"draft":587},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner de sécurité vibe coding : ce qu’un scan d’URL rate","Un scanner de sécurité vibe coding lit votre app en ligne depuis l’extérieur. Ce qu’il couvre, les quatre choses qu’il ne voit pas, et comment lire le résultat.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":1017,"title":1018,"description":1019,"published":1020,"category":583,"image":1021,"draft":587},"\u002Fblog\u002Fmissing-security-headers","En-têtes de sécurité manquants : quand cela compte","Les en-têtes de sécurité manquants sont notre constat le plus fréquent. Contre quoi ils protègent, et quand ils comptent le moins dans votre rapport.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1023,"title":1024,"description":1025,"published":1026,"category":583,"image":1027,"draft":587},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","Votre clé API OpenAI est exposée dans votre frontend. Changez-la.","Une clé API OpenAI exposée dans votre frontend ne peut être liée à aucun domaine. Changez-la aujourd'hui, passez par votre serveur et plafonnez la dépense.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1029,"title":1030,"description":1031,"published":1032,"category":583,"image":1033,"draft":587},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Clé API exposée dans le frontend : ce que 30 998 applis livrent","Une clé API exposée dans votre frontend est le plus souvent une clé Google Maps. Nous avons scanné 30 998 applis vibe-codées et compté ce qui fuit vraiment.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1035,"title":1036,"description":1037,"published":1038,"category":683,"image":1039,"draft":587},"\u002Fblog\u002Fsupabase-backup-tools-compared","Outils de sauvegarde Supabase comparés, le nôtre compris","Quatre familles d'outil de sauvegarde Supabase, ce que chacun copie vraiment, et quand une GitHub Action gratuite bat le fait de payer, nous compris.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1041,"title":1042,"description":1043,"published":1044,"category":583,"image":1045,"draft":587},"\u002Fblog\u002Freplit-secrets-explained","Utiliser les secrets sur Replit, et ce qui est publié quand même","Utiliser les secrets sur Replit : en ajouter un, le relire, corriger les deux causes du undefined. Et les clés que l'outil Secrets ne peut pas protéger.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1047,"title":1048,"description":1049,"published":1050,"category":683,"image":1051,"draft":587},"\u002Fblog\u002Fback-up-supabase-free-tier","Sauvegardes du plan gratuit Supabase : en faire une sans terminal","Le plan gratuit de Supabase ne fait aucune sauvegarde : la copie vient de vous. Comment la faire depuis le tableau de bord, et ce que le CSV oublie.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1053,"title":1054,"description":1055,"published":1056,"category":583,"image":1057,"draft":587},"\u002Fblog\u002Fis-supabase-secure","Supabase est-il sûr ? Oui. Votre projet est une autre question","Supabase est-il sûr ? La plateforme est auditée, chiffrée et testée en intrusion. Sa documentation dit où cela s'arrête et où vos réglages commencent.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1059,"title":1060,"description":1061,"published":1062,"category":583,"image":1063,"draft":587},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Où trouver vos clés API Supabase : anon, service_role et URL","L'URL du projet, la clé anon et la clé service_role tiennent sur une page du tableau de bord. Voici où elle est, et laquelle des quatre va dans votre app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1065,"title":1066,"description":1067,"published":1068,"category":583,"image":1069,"draft":587},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy sur Supabase : et après ?","\"New row violates row-level security policy\" signifie que Supabase a refusé une écriture. Le correctif rapide rouvre la table à tout le monde.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1071,"title":1072,"description":1073,"published":1074,"category":583,"image":1075,"draft":587},"\u002Fblog\u002Fcors-wildcard-security-risk","Un joker CORS est-il un risque de sécurité ? Rarement.","Un joker CORS est-il un risque de sécurité ? C'est souvent le réglage par défaut de votre builder, et il ne livre rien que votre serveur ne donnait déjà.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1077,"title":1078,"description":1079,"published":1080,"category":683,"image":1081,"draft":587},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Le branching Supabase n'est pas une sauvegarde de vos données.","Pourquoi le branching Supabase n'est pas une sauvegarde : une branche démarre sans vos données, et un merge ne déplace que le schéma. À quoi il sert vraiment.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1083,"title":1084,"description":1085,"published":1086,"category":683,"image":1087,"draft":587},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Restaurer une sauvegarde Supabase, et ce qui casse après","Restaurer une sauvegarde Supabase depuis le tableau de bord ou un fichier de dump, ce que la restauration remplace et pourquoi votre app peut rester cassée.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1089,"title":1090,"description":1091,"published":1092,"category":583,"image":1093,"draft":587},"\u002Fblog\u002Fsupabase-storage-bucket-public","Votre bucket Supabase Storage est public. Est-ce un problème ?","Un bucket Supabase Storage public signifie que celui qui a l'URL d'un fichier peut l'ouvrir. Il ne signifie pas que quelqu'un peut lister ce qu'il contient.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1095,"title":1096,"description":1097,"published":1098,"category":583,"image":1099,"draft":587},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Une clé API Google dans votre frontend, est-ce un problème ?","Une clé API Google exposée dans votre frontend est la clé que notre scanner trouve le plus souvent, et en général tout va bien. Un réglage gratuit tranche.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1101,"title":1102,"description":1103,"published":1104,"category":683,"image":1105,"draft":587},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agent IA a supprimé mes données Supabase. Que puis-je récupérer ?","Un agent IA a supprimé des données de votre base. Ce que vous pouvez récupérer était déjà décidé avant, et les prochaines minutes décident du reste.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1107,"title":1108,"description":1109,"published":1110,"category":583,"image":1111,"draft":587},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Qui peut lire votre base Supabase ? Nous avons testé 3 680 apps","N'importe qui peut-il lire votre base de données Supabase sans se connecter ? Nous avons scanné 30 998 apps en ligne créées avec des builders IA.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1113,"title":1114,"description":1115,"published":1110,"category":583,"image":1116,"draft":587},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source maps exposées : votre app publie son code original","Une source map exposée laisse n'importe qui lire le code original de votre app, commentaires compris. Le test de 30 secondes, et ce qui compte vraiment.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1118,"title":1119,"description":1120,"published":1121,"category":583,"image":1122,"draft":587},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key : la même chose que l'anon key ?","Supabase a remplacé anon et service_role par des clés publiables et secrètes. Laquelle a sa place dans votre app, et laquelle jamais ?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1124,"title":1125,"description":1126,"published":1127,"category":683,"image":1128,"draft":587},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase sauvegarde-t-il ma base de données ? Cela dépend du plan.","Supabase sauvegarde-t-il votre base de données ? Chaque jour sur les plans payants, jamais sur le gratuit. Comment savoir ce que vous avez vraiment.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1130,"title":1131,"description":1132,"published":1133,"category":583,"image":1134,"draft":587},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security est activé. La table reste publique.","Activer Supabase Row Level Security ne protège pas une table. Ce sont vos politiques, et celle qui a réparé votre app laisse peut-être entrer tout le monde.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1136,"title":1137,"description":1138,"published":1133,"category":683,"image":1139,"draft":587},"\u002Fblog\u002Fversion-history-is-not-a-backup","L'historique des versions n'est pas une sauvegarde de vos données.","Lovable et Bolt tiennent un historique des versions de votre code. Votre base de données est un service à part, et revenir en arrière ne la ramène pas.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1141,"title":1142,"description":1143,"published":1144,"category":683,"image":1145,"draft":587},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Trois façons de sauvegarder une base Supabase, et ce qui manque","Le tableau de bord, pg_dump et un service géré. Ce que chacun enregistre, ce qu'il laisse de côté sans le dire, et lequel survit à la perte du compte.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1147,"title":1148,"description":1149,"published":1144,"category":583,"image":1150,"draft":587},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quelles clés API sont sûres côté navigateur, et lesquelles non","Votre clé anon Supabase est faite pour être publique. Votre clé service_role non, et elle ignore toutes les règles que vous posez. Comment les distinguer.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213641675]