[{"data":1,"prerenderedAt":935},["ShallowReactive",2],{"blog-fr-aws-access-key-exposed-in-frontend":3,"blog-index-fr":406},{"id":4,"title":5,"body":6,"category":363,"cover":364,"coverAlt":365,"description":366,"draft":367,"extension":368,"faq":369,"image":383,"keywords":384,"meta":393,"navigation":394,"ogTitle":395,"path":396,"published":397,"seo":398,"stem":399,"tldr":400,"updated":397,"__hash__":405},"blog_fr\u002Fblog\u002Faws-access-key-exposed-in-frontend.md","Une clé AWS exposée dans le frontend n'est pas une clé OpenAI",{"type":7,"value":8,"toc":350},"minimark",[9,18,21,26,39,45,59,65,69,72,79,85,91,97,100,104,107,110,116,119,128,132,135,138,141,150,155,159,162,171,198,209,217,221,224,227,238,241,245,251,260,280,290,307,310,314,337],[10,11,12,13,17],"p",{},"Quelqu'un ouvre votre application dans un navigateur, appuie sur F12, et trouve\nune chaîne commençant par ",[14,15,16],"code",{},"AKIA"," posée dans votre code frontend. Ou GitHub vous\nécrit qu'un commit poussé en mars dernier contient un identifiant AWS. Le\nconseil qui accompagne les deux est toujours le même : faites tourner la clé.\nPour la plupart des clés, c'est presque toute la réponse.",[10,19,20],{},"Voici la partie que guide après guide se trompe. Une clé d'accès AWS exposée\ndans votre frontend n'est pas une clé qui dépense de l'argent. C'est une clé\nqui ouvre des choses, et les deux tournent mal dans des directions\ndifférentes. Une clé qui ne fait que dépenser est une carte de société :\nquelqu'un fait une note, vous bloquez la carte, et le dommage est un chiffre\nque vous lisez sur un relevé. Une clé qui ouvre des choses est le trousseau de\nl'entrepôt. Ce qu'elle atteint dépend de ce qui a été écrit dessus au moment où\nelle a été taillée, et cela se lit sur un seul écran de votre console AWS.",[22,23,25],"h2",{"id":24},"que-veut-dire-akia-au-début-dune-clé","Que veut dire AKIA au début d'une clé ?",[10,27,28,29,31,32,35,36,38],{},"Cela marque une clé d'accès à longue durée, appartenant soit à un utilisateur\nde votre compte, soit à l'identifiant root du compte. AWS note le préfixe dans\nsa propre référence des identifiants : ",[14,30,16],{}," pour les clés d'accès, et ",[14,33,34],{},"ASIA","\npour les temporaires que son service de jetons distribue. Les quatre premiers\ncaractères vous disent donc à quelle sorte vous avez affaire, et ",[14,37,16],{}," est\ncelle sans date d'expiration. Elle marche jusqu'à ce que quelqu'un l'éteigne.",[10,40,41,42,44],{},"Un identifiant AWS, ce sont deux chaînes, et une requête a besoin des deux pour\nêtre signée. La première est l'identifiant de la clé d'accès, la partie qui\ncommence par ",[14,43,16],{},". La seconde est la clé d'accès secrète, une chaîne plus\nlongue sans aucun préfixe devant. L'identifiant seul ne signe rien.",[10,46,47,48,50,51,54,55,58],{},"Cela vaut la peine d'être vérifié avant de décider à quel point la matinée est\nmauvaise, car cela change la réponse. Si votre bundle porte la chaîne ",[14,49,16],{}," et\nrien qui ressemble à sa moitié secrète, un visiteur lisant votre page a eu le\nnom de la clé et pas la clé. En pratique, les deux voyagent ensemble, car ce\nqui a mis l'une dans le navigateur a mis les deux : une paire de variables\nd'environnement nommées ",[14,52,53],{},"AWS_ACCESS_KEY_ID"," et ",[14,56,57],{},"AWS_SECRET_ACCESS_KEY",", lues\npar du code censé tourner sur un serveur.",[60,61],"diagram",{"alt":62,"caption":63,"src":64},"Deux valeurs empilées à gauche : une courte en turquoise portant AKIA, et une plus longue en dessous dont le contenu est dessiné en blocs noircis. Les deux rejoignent une flèche vers un document avec un sceau en forme de clé, coché. Sous un trait de séparation, la valeur AKIA seule mène à une croix.","Les deux moitiés ensemble signent une requête. L'identifiant seul est un nom, et un nom n'ouvre rien.","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Ftwo-strings-one-signature-1600x640.png",[22,66,68],{"id":67},"que-peut-faire-quelquun-avec-ma-clé-daccès-aws","Que peut faire quelqu'un avec ma clé d'accès AWS ?",[10,70,71],{},"Tout ce que ses permissions autorisent, et rien au-delà. Il y a donc trois\nréponses.",[10,73,74,78],{},[75,76,77],"strong",{},"Que peut-elle lire ?"," Chaque bucket S3 que la politique liste, et chaque\nobjet dedans, y compris ceux vers lesquels vous n'avez jamais mis le moindre\nlien. Un bucket que rien dans votre application ne mentionne n'est pas caché à\ndes identifiants qui ont le droit de le lister.",[10,80,81,84],{},[75,82,83],{},"Que peut-elle écrire ?"," Les mêmes endroits, et c'est la moitié qu'on oublie.\nUne clé qui peut écrire peut aussi écraser et supprimer, et un fichier remplacé\nsur place ressemble exactement à celui que vous avez envoyé jusqu'à ce que\nquelqu'un l'ouvre.",[10,86,87,90],{},[75,88,89],{},"Que peut-elle démarrer ?"," Celle-là a un compteur. Une politique assez large\npour lancer du calcul lance du calcul, et cela facture à l'heure tant que ça\ntourne. Rien dans la copie que détient le navigateur ne limite la part de votre\ncompte qu'elle atteint ; la politique est la seule limite.",[10,92,93,94,96],{},"La pire version de tout cela est une clé taillée pour l'identifiant root du\ncompte. AWS écrit dans ses propres consignes sur l'utilisateur root que\ncelui-ci a un accès sans restriction à tous les services AWS, aux ressources et\naux données de facturation, et déconseille de lui créer la moindre clé d'accès.\nSi la clé de votre page commence par ",[14,95,16],{}," et appartient à l'utilisateur root,\nce qui est exposé est le compte entier et non un bucket.",[10,98,99],{},"Ne devinez donc rien de tout cela. Ouvrez IAM, trouvez l'utilisateur auquel la\nclé appartient, et lisez les politiques attachées. C'est un écran, et il répond\naux trois questions ci-dessus.",[22,101,103],{"id":102},"suffit-il-de-la-faire-tourner","Suffit-il de la faire tourner ?",[10,105,106],{},"Désactivez la clé exposée aujourd'hui, et ne mettez pas de remplaçante au même\nendroit.",[10,108,109],{},"Désactiver est le bon premier geste et c'est plus doux qu'il n'y paraît. AWS\nlaisse un utilisateur détenir jusqu'à deux clés d'accès actives à la fois, et\ncela existe précisément pour qu'une remplaçante monte avant que l'ancienne ne\ndescende. Désactiver laisse la clé en place et éteinte, et elle se rallume ;\nsupprimer est irréversible, et la moitié secrète d'une clé supprimée ne se\nrécupère pas. Donc désactivez, regardez ce qui casse, et supprimez après.",[10,111,112,113,115],{},"Ce qui ne termine pas l'affaire, c'est de créer une nouvelle clé et de la\ncoller là où était l'ancienne. La fuite n'a jamais vraiment porté sur cette\nvaleur-là. Elle portait sur un navigateur détenant un identifiant sans\nexpiration, et tout ce que votre page télécharge, chaque visiteur le\ntélécharge. Une chaîne ",[14,114,16],{}," toute fraîche dans le même bundle revient comme\nla même trouvaille au scan suivant.",[10,117,118],{},"AWS le dit clairement dans son guide d'audit de sécurité, à propos des\napplications mobiles : elles ne devraient jamais contenir de clés d'accès\nintégrées, même chiffrées. Un bundle de navigateur se lit plus facilement qu'un\nbinaire d'application, donc la même réponse vaut ici et coûte moins de travail\nà un inconnu.",[10,120,121,122,127],{},"Si vous avez déjà trouvé la clé dans un endroit public, l'ordre dans lequel\nvous travaillez compte, et\n",[123,124,126],"a",{"href":125},"\u002Fblog\u002Fapi-key-leaked-what-to-do","la bonne suite quand une clé API fuite"," pose\ncet ordre pour les clés de toutes sortes.",[22,129,131],{"id":130},"ce-quune-presigned-url-fait-à-la-place","Ce qu'une presigned URL fait à la place",[10,133,134],{},"Elle laisse le navigateur faire une seule chose à un seul fichier sans détenir\nle moindre identifiant.",[10,136,137],{},"Votre propre serveur garde la clé d'accès, là où un visiteur ne peut pas la\nlire. Quand votre page doit déposer un fichier dans S3 ou en sortir un, elle\ndemande à votre serveur, et votre serveur signe une URL pour cet objet-là et\ncette action-là et la rend. Le navigateur se sert de l'URL et n'obtient rien\nd'autre avec. AWS décrit une presigned URL comme un accès temporaire aux objets\nS3 sans identifiants AWS, et le même mécanisme couvre les téléchargements comme\nles envois.",[10,139,140],{},"Retour à l'entrepôt. Une presigned URL, c'est retrouver le coursier à la porte\navec la caisse qu'il est venu chercher, au lieu de lui tendre le trousseau en\ncomptant sur lui pour la trouver. Ce que le coursier emporte cesse de\nfonctionner quand sa pendule est écoulée.",[10,142,143,144,146,147,149],{},"Pour le cas où chaque personne connectée atteint ses propres fichiers, AWS\nrenvoie encore ailleurs : ses consignes sur la sécurisation des clés d'accès\ndisent que les applications mobiles devraient utiliser Amazon Cognito pour\ngérer les identités au lieu d'intégrer des clés d'accès. Ce que Cognito donne\nau navigateur est un identifiant temporaire, la sorte ",[14,145,34],{}," du début de cet\narticle, qui cesse de fonctionner tout seul au bout d'un moment. Une copie\nraclée sur votre page un mardi est déjà morte le mercredi, et c'est la seule\npropriété qu'une clé ",[14,148,16],{}," n'a pas.",[60,151],{"alt":152,"caption":153,"src":154},"Deux parcours dessinés l'un au-dessus de l'autre. En haut, un navigateur avec une clé à côté, une flèche, et une étagère de huit fichiers sur deux rayons. En bas, le même navigateur, une flèche vers un serveur qui détient la clé, puis une flèche vers un seul fichier avec un cadran d'horloge à côté.","Le parcours du haut met dans le navigateur quelque chose qui agit sur chaque fichier, demain comme aujourd'hui. Celui du bas lui donne un fichier et une échéance.","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fkey-or-url-1600x700.png",[22,156,158],{"id":157},"comment-vérifier-si-mon-application-livre-une-clé-aws","Comment vérifier si mon application livre une clé AWS ?",[10,160,161],{},"Cherchez dans ce que le navigateur a téléchargé, pas dans ce qui est dans votre\nprojet. Ce sont deux fichiers différents, et celui qui compte est celui que vos\nvisiteurs reçoivent.",[10,163,164,167,168,170],{},[75,165,166],{},"Dans le navigateur."," Ouvrez votre site publié, appuyez sur F12, et cherchez\n",[14,169,16],{}," dans le JavaScript chargé. Chrome et Edge cherchent dans tous les\nfichiers chargés d'un coup depuis le panneau Sources.",[10,172,173,176,177,179,180,182,183,185,186,54,189,192,193,197],{},[75,174,175],{},"Dans votre projet."," Cherchez ",[14,178,16],{},", ",[14,181,53],{}," et\n",[14,184,57],{},". Cherchez ensuite les deux préfixes qui mettent une\nvaleur dans un bundle exprès, ",[14,187,188],{},"VITE_",[14,190,191],{},"NEXT_PUBLIC_",", et lisez chaque valeur\nderrière eux.\n",[123,194,196],{"href":195},"\u002Fblog\u002Fvite-and-next-public-env-vars","Pourquoi ces deux préfixes publient tout ce qu'ils nomment","\nest la mécanique derrière la plupart de ces cas, et c'est une règle du build\nque personne n'a tapée par erreur.",[10,199,200,203,204,208],{},[75,201,202],{},"De l'extérieur."," Notre scan gratuit lit votre site publié comme le ferait un\ninconnu et signale quels identifiants il voit dans ce que vous avez livré,\ncelui-ci compris. Il prend environ 20 secondes et ne demande aucun compte :\n",[123,205,207],{"href":206},"\u002Fsecurity-scanner","scanner votre application gratuitement",".",[10,210,211,212,216],{},"Sur toutes les applications que nous avons scannées, c'est une trouvaille rare\n: une clé d'accès AWS est apparue dans 9 des 31 056 applications où ce contrôle\nest allé au bout. Celles qui reviennent bien plus souvent sont les clés Google,\nen général sans problème, et celles d'OpenAI, en général avec.\n",[123,213,215],{"href":214},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Ce qui fuit vraiment des applications construites ainsi","\nles met toutes côte à côte avec les chiffres.",[22,218,220],{"id":219},"ce-que-la-clé-a-fait-pendant-quelle-était-dehors","Ce que la clé a fait pendant qu'elle était dehors",[10,222,223],{},"Ouvrez l'historique des événements CloudTrail et filtrez sur l'identifiant de\nla clé d'accès.",[10,225,226],{},"L'historique des événements est actif dans chaque compte AWS sans rien à\nallumer, il garde les 90 derniers jours, et il ne coûte rien de plus. Chaque\nentrée porte l'identifiant de la clé qui a fait l'appel, vous pouvez donc\nrelire ce que votre clé a fait. Cela répond aux questions de configuration : un\nbucket créé, une politique changée, un utilisateur ajouté.",[10,228,229,230,233,234,237],{},"Puis il y a la partie qu'il vaut mieux connaître avant de chercher.\nL'historique garde les événements de ",[75,231,232],{},"management",". Lire un objet dans S3 est\nun événement de ",[75,235,236],{},"data",", et AWS dit explicitement que les trails ne les\njournalisent pas par défaut et que les événements de data n'apparaissent pas du\ntout dans l'historique. Les allumer enregistre à partir de cet instant.",[10,239,240],{},"La lecture honnête est donc celle-ci. Si la clé a servi à modifier votre\ncompte, le journal vous le montre. Si elle a servi à télécharger le contenu\nd'un bucket, il ne le montrera probablement pas, et vous décidez quoi dire à\nvos clients en sachant que c'est peut-être arrivé.",[22,242,244],{"id":243},"garder-une-clé-hors-du-prochain-build","Garder une clé hors du prochain build",[10,246,247,250],{},[75,248,249],{},"Un identifiant part vers le navigateur au moment du build, donc le prochain\ndéploiement est celui à surveiller."," La clé que vous retirez aujourd'hui\nrevient l'après-midi où quelqu'un ajoute une fonctionnalité qui a besoin de S3\net demande à un agent de la câbler.",[10,252,253],{},[75,254,255,259],{},[123,256,258],{"href":257},"\u002Fwebsite-monitoring","Reeve Monitor"," relit votre site publié pour vous :",[261,262,263,267,274,277],"ul",{},[264,265,266],"li",{},"les neuf contrôles toutes les heures, sur jusqu'à trois applications",[264,268,269,270,273],{},"un message quand un résultat ",[75,271,272],{},"change",", pour qu'une clé arrivée un mardi n'attende pas votre prochain coup d'œil",[264,275,276],{},"si l'application répond, toutes les 60 secondes",[264,278,279],{},"un rapport mensuel de ce qui a été vu",[10,281,282],{},[75,283,284,285,289],{},"Si votre application garde ses données dans un projet Supabase,\n",[123,286,288],{"href":287},"\u002Fsupabase-backups","Reeve Care"," en garde aussi une copie :",[261,291,292,295,298,301,304],{},[264,293,294],{},"une copie chiffrée de votre base Supabase chaque nuit, rangée là où votre projet ne l'atteint pas",[264,296,297],{},"chaque copie vérifiée avant de compter, en comptant les lignes de chaque table",[264,299,300],{},"une restauration en un clic quand vous en avez besoin",[264,302,303],{},"vos fichiers envoyés aussi, dès que vous connectez un identifiant Storage",[264,305,306],{},"tout ce que fait Monitor",[10,308,309],{},"Chacun de ces neuf contrôles décrit ce qu'un inconnu peut atteindre. Une copie\nde la base d'hier soir répond à l'autre question, celle de ce que quelqu'un a\ndéjà modifié pendant que la clé était dehors.",[22,311,313],{"id":312},"quoi-faire-cette-semaine","Quoi faire cette semaine",[315,316,317],"key-takeaways",{},[261,318,319,325,328,331,334],{},[264,320,321,322,324],{},"Ouvrez votre site publié, appuyez sur F12, et cherchez ",[14,323,16],{}," dans le JavaScript chargé. C'est le fichier que vos visiteurs ont, et le seul qui compte.",[264,326,327],{},"Si vous en trouvez une, désactivez-la dans IAM aujourd'hui. Désactiver est réversible et prend effet tout de suite ; supprimer ne l'est pas, et la moitié secrète ne se récupère pas.",[264,329,330],{},"Lisez les politiques attachées à l'utilisateur de la clé avant de juger de la gravité. Ce qu'elle peut lire, ce qu'elle peut écrire et ce qu'elle peut démarrer sont trois réponses distinctes.",[264,332,333],{},"Remplacez le schéma au lieu de la valeur. Votre serveur garde la clé et signe une presigned URL pour un objet, ou Amazon Cognito donne au navigateur un identifiant temporaire qui expire tout seul.",[264,335,336],{},"Filtrez l'historique des événements CloudTrail sur la clé pour les 90 derniers jours. Il vous montrera ce que la clé a configuré, et il ne vous montrera pas quels fichiers elle a lus si les événements de data n'étaient pas déjà allumés.",[10,338,339,340,344,345,349],{},"Commencez par la recherche F12, car elle règle en une minute la question de\nsavoir si vous avez un problème. Si elle sort quelque chose, la\n",[123,341,343],{"href":342},"\u002Fchecklist","checklist de sécurité en 10 minutes"," couvre le reste de ce qu'une\napplication fraîchement lancée a tendance à laisser ouvert, et\n",[123,346,348],{"href":347},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","déplacer un secret dans une edge function","\nest le schéma pour chaque clé qui n'aurait jamais dû être dans la page.",{"title":351,"searchDepth":352,"depth":352,"links":353},"",3,[354,356,357,358,359,360,361,362],{"id":24,"depth":355,"text":25},2,{"id":67,"depth":355,"text":68},{"id":102,"depth":355,"text":103},{"id":130,"depth":355,"text":131},{"id":157,"depth":355,"text":158},{"id":219,"depth":355,"text":220},{"id":243,"depth":355,"text":244},{"id":312,"depth":355,"text":313},"Bases de la sécurité","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcover-1200x630.png","Une page de code applicatif portant une valeur courte allumée et une longue masquée, une clé posée en travers de son coin, et derrière, une étagère de fichiers.","Une clé d'accès AWS exposée dans votre frontend lit et écrit votre stockage. La solution est en général une presigned URL, pas une nouvelle clé.",false,"md",[370,373,375,378,380],{"q":371,"a":372},"Est-il parfois acceptable de mettre des clés AWS dans le code frontend ?","Non. AWS le dit dans son propre guide d'audit de sécurité, à propos des applications mobiles : une application ne devrait jamais contenir de clés d'accès intégrées, même chiffrées. Un bundle de navigateur se lit plus facilement qu'un binaire d'application, donc la même réponse vaut ici et coûte moins de travail à un inconnu. Si votre page doit vraiment atteindre S3, les voies prévues sont une presigned URL signée par votre propre serveur, ou des identifiants temporaires d'Amazon Cognito, qui expirent d'eux-mêmes.",{"q":68,"a":374},"Exactement ce que ses permissions autorisent, ce qui explique qu'il n'y ait pas une seule réponse. Une clé attachée à un utilisateur avec accès en lecture à un bucket lit ce bucket. Une clé attachée à un administrateur fait tout ce que fait un administrateur, y compris démarrer des machines facturées à l'heure. Une clé du compte root est le pire cas, car AWS écrit que l'utilisateur root a un accès sans restriction à tous les services, ressources et données de facturation. Ouvrez IAM et lisez les politiques attachées à la clé avant de décider à quel point vous inquiéter.",{"q":376,"a":377},"Qu'est-ce qu'une presigned URL ?","Une longue URL qui permet à un navigateur de faire une seule chose à un seul fichier dans S3, pendant un nombre de secondes fixé, sans détenir le moindre identifiant AWS. Votre propre serveur garde la clé et signe l'URL à la demande. AWS décrit les presigned URLs comme un accès temporaire aux objets S3 sans identifiants AWS, et elles marchent aussi bien pour les téléchargements que pour les envois.",{"q":158,"a":379},"Cherchez dans ce que votre navigateur a téléchargé, pas dans ce qui est dans votre projet. Ouvrez votre site publié, appuyez sur F12, et cherchez AKIA dans le JavaScript chargé. Cherchez ensuite dans votre projet AKIA, AWS_ACCESS_KEY_ID et AWS_SECRET_ACCESS_KEY, et tout nom de variable commençant par VITE_ ou NEXT_PUBLIC_ qui en contient une, car ce sont ces préfixes qui mettent une valeur dans le bundle au départ.",{"q":381,"a":382},"Ma clé AWS est sur GitHub. Et maintenant ?","Désactivez-la d'abord dans IAM, ce qui est réversible et prend effet tout de suite, puis créez un remplacement pour le serveur qui en avait besoin. La retirer de votre code ne ferme rien, car l'ancienne valeur reste dans votre historique de commits et dans chaque clone que quelqu'un a fait. Ouvrez ensuite l'historique des événements CloudTrail et filtrez sur la clé pour voir ce qu'elle a fait.","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",[385,386,387,388,389,390,391,392],"clé d'accès aws exposée dans le frontend","clé aws dans le frontend","clé d'accès aws fuitée","clé akia exposée","aws secret access key dans javascript","identifiants aws côté client","clés aws dans react","clé aws sur github",{},true,"Clé d'accès AWS exposée dans votre frontend ?","\u002Fblog\u002Faws-access-key-exposed-in-frontend","2026-10-12",{"title":5,"description":366},"blog\u002Faws-access-key-exposed-in-frontend",[401,402,403,404],"Une clé d'accès AWS exposée dans votre frontend est un autre problème qu'une clé qui ne peut que dépenser. Ce qu'elle atteint dépend de ses permissions.","Deux chaînes signent une requête AWS : un identifiant qui commence par `AKIA`, et une moitié secrète. L'une sans l'autre ne signe rien.","Une nouvelle clé collée au même endroit est la même trouvaille avec une autre valeur. La solution est une presigned URL, pour que le navigateur ne détienne aucun identifiant.","Nous en avons trouvé une dans 9 des 31 056 applications scannées où ce contrôle est allé au bout.","q-9FAkv9jBd3NPwX8VhVpjAVFP2EK2MGgApMQOMWUbQ",[407,413,419,425,431,437,443,449,455,461,467,474,480,486,492,498,504,510,516,522,528,534,540,546,552,558,564,570,576,577,583,589,594,600,606,612,617,623,629,635,641,647,653,659,665,671,676,682,688,694,700,706,712,718,723,729,735,741,747,753,759,765,771,777,783,789,795,801,807,813,818,824,830,836,842,848,854,860,866,872,878,884,890,896,901,907,913,919,924,930],{"path":408,"title":409,"description":410,"published":411,"category":363,"image":412,"draft":367},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\" expliqué","Supabase \"max client connections reached\" : le pooler n'a plus de place pour un client de plus. Le port de votre chaîne de connexion fixe la limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":414,"title":415,"description":416,"published":417,"category":363,"image":418,"draft":367},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Erreur Supabase : \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\" : la connexion Google est désactivée dans votre projet Supabase. Comment l'activer, et redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":420,"title":421,"description":422,"published":423,"category":363,"image":424,"draft":367},"\u002Fblog\u002Fviolates-foreign-key-constraint","Erreur Supabase \"violates foreign key constraint\" à l'insertion","Supabase \"insert or update on table violates foreign key constraint\" : votre ligne pointe vers une ligne absente. Laquelle, pourquoi, et la solution.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":426,"title":427,"description":428,"published":429,"category":363,"image":430,"draft":367},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Erreur Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\" : une colonne obligatoire est arrivée vide. D'où vient le null, et la solution.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":432,"title":433,"description":434,"published":435,"category":363,"image":436,"draft":367},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\" : où est passée la session","\"Auth session missing!\" : supabase-js n'a trouvé aucune session connectée et n'a même pas interrogé Supabase. Où est passée la session, et la solution.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":438,"title":439,"description":440,"published":441,"category":363,"image":442,"draft":367},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\" : personne de connecté","\"invalid claim: missing sub claim\" : Supabase Auth a reçu un vrai jeton qui ne nomme personne, la clé du projet à la place d'une session.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":444,"title":445,"description":446,"published":447,"category":363,"image":448,"draft":367},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\" : la vraie cause","\"Failed to send a request to the Edge Function\" : le navigateur n'a reçu aucune réponse lisible. Sa console dit pourquoi, et si votre fonction a tourné.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":450,"title":451,"description":452,"published":453,"category":363,"image":454,"draft":367},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Pourquoi les liens e-mail de Supabase redirigent vers localhost:3000","Si Supabase redirige vers localhost:3000, la Site URL n'a jamais été changée ou votre adresse manque dans Redirect URLs. La solution, et le joker à éviter.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":456,"title":457,"description":458,"published":459,"category":363,"image":460,"draft":367},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" sur un lien neuf","Sur un lien envoyé il y a une minute, \"Email link is invalid or has expired\" de Supabase signifie souvent qu'un filtre de messagerie l'a utilisé avant.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":462,"title":463,"description":464,"published":465,"category":363,"image":466,"draft":367},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\" expliqué","Supabase \"canceling statement due to statement timeout\" : une requête a dépassé la limite de son rôle, 3 secondes pour un visiteur. Vérifiez la règle RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":468,"title":469,"description":470,"published":471,"category":472,"image":473,"draft":367},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" sur Supabase, et ce qui part avec","\"Database error deleting user\" sur Supabase : votre base a refusé la suppression. La cause est dans vos logs, et la solution décide de ce qui part avec.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":475,"title":476,"description":477,"published":478,"category":363,"image":479,"draft":367},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" sur Supabase","Un webhook Stripe dans une Edge Function Supabase affiche \"No signatures found matching the expected signature\" ? Deux causes. Gardez la vérification.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":481,"title":482,"description":483,"published":484,"category":363,"image":485,"draft":367},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" dans Supabase : les trois causes","Supabase répond \"Invalid login credentials\" à un mauvais mot de passe, un e-mail inconnu et un compte Google. Comment savoir lequel.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":487,"title":488,"description":489,"published":490,"category":363,"image":491,"draft":367},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\" : la vraie erreur","\"Edge Function returned a non-2xx status code\" signifie que votre fonction Supabase a répondu par une erreur. Voici où lire la vraie.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":493,"title":494,"description":495,"published":496,"category":363,"image":497,"draft":367},"\u002Fblog\u002Fcertificate-not-trusted","Certificat non approuvé : trois causes autres que l’expiration","Certificat non approuvé alors que la date est bonne ? Il nomme une autre adresse, il s’est signé lui-même ou il manque un maillon à sa chaîne.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":499,"title":500,"description":501,"published":502,"category":363,"image":503,"draft":367},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\" : lisez les guillemets","Supabase \"invalid input syntax for type uuid\" : votre app a envoyé autre chose qu'un id. Lisez les guillemets, retenez la requête, gardez la colonne.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":505,"title":506,"description":507,"published":508,"category":363,"image":509,"draft":367},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\" expliqué","Supabase \"duplicate key value violates unique constraint\" : la valeur est déjà prise. Trouver la colonne, choisir un correctif, garder la valeur hors écran.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":511,"title":512,"description":513,"published":514,"category":363,"image":515,"draft":367},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" alors que la table existe","Supabase \"relation does not exist\" ou PGRST205 : aucune table ne porte ce nom dans ce schéma. Quatre vérifications, et ce qu'ouvre un schéma exposé.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":517,"title":518,"description":519,"published":520,"category":363,"image":521,"draft":367},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" cite les noms d'arguments envoyés par votre application. Comparez-les à la fonction.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":523,"title":524,"description":525,"published":526,"category":363,"image":527,"draft":367},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" vient le plus souvent du nom. Quatre vérifications, et la ligne qui recharge le cache.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":529,"title":530,"description":531,"published":532,"category":363,"image":533,"draft":367},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\" : deux limites, un code","Supabase \"Email Rate Limit Exceeded\" plafonne chaque e-mail de votre projet : 2 par heure avec l'expéditeur intégré. Ce qui compte, et comment le relever.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":535,"title":536,"description":537,"published":538,"category":363,"image":539,"draft":367},"\u002Fblog\u002Fsupabase-users-logged-out","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" : 3 causes","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" déconnecte vos utilisateurs. Trois causes, et comment le log Auth les distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":541,"title":542,"description":543,"published":544,"category":363,"image":545,"draft":367},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\" : trois causes","Supabase \"permission denied for schema public\" signale un grant manquant sur le schéma. Ce qui l'a retiré, et la ligne qui le remet.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":547,"title":548,"description":549,"published":550,"category":363,"image":551,"draft":367},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\" : les trois choses que cela veut dire","Supabase \"Bucket not found\", c'est une de trois choses : un lien public vers un bucket privé, un nom pas tout à fait exact, ou le mauvais projet.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":553,"title":554,"description":555,"published":556,"category":363,"image":557,"draft":367},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT : quelle clé a cessé de marcher ?","Une erreur Supabase invalid JWT, c'est PGRST301 : un jeton signé n'a pas passé la vérification. Sur un projet récent, c'est la session, pas la clé API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":559,"title":560,"description":561,"published":562,"category":363,"image":563,"draft":367},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" veut dire zéro ligne","Supabase renvoie PGRST116, \"JSON object requested, multiple (or no) rows returned\", quand la requête n'a rien trouvé. Une ligne cachée semble absente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":565,"title":566,"description":567,"published":568,"category":363,"image":569,"draft":367},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" sur Supabase : où regarder","\"Database error saving new user\" veut dire que quelque chose rattaché à votre inscription Supabase a échoué. La vraie erreur est dans vos logs.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":571,"title":572,"description":573,"published":574,"category":363,"image":575,"draft":367},"\u002Fblog\u002Fwhat-is-supabase","Qu'est-ce que Supabase ? La base que votre builder a choisie","Qu'est-ce que Supabase : la base de données, la connexion et le stockage de fichiers de votre app. Les règles sur qui lit vos lignes sont à vous.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":396,"title":5,"description":366,"published":397,"category":363,"image":383,"draft":367},{"path":578,"title":579,"description":580,"published":581,"category":363,"image":582,"draft":367},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" à l'upload","\"New row violates row-level security policy for table objects\" signifie que votre upload n'a pas de règle insert. Rendre le bucket public n'en ajoute aucune.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":584,"title":585,"description":586,"published":587,"category":363,"image":588,"draft":367},"\u002Fblog\u002Fbase44-security-scan","Scan de sécurité Base44 : ce que lui seul peut voir","Le scan de sécurité Base44 vérifie sept types de problèmes depuis l’intérieur. Voici la moitié que lui seul lit, et celle qu’il ne regarde jamais.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":125,"title":590,"description":591,"published":592,"category":363,"image":593,"draft":367},"Votre clé API a fuité. L'ordre dans lequel agir","Une clé API a fuité et vous ne savez pas par quoi commencer. Toutes les clés de votre frontend n'en sont pas une, et l'ordre compte plus que la vitesse.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":595,"title":596,"description":597,"published":598,"category":363,"image":599,"draft":367},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" sans désactiver RLS","\"Infinite recursion detected in policy for relation\" signifie que votre policy a interrogé la table qu'elle protège. Voici comment rompre le cercle.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":601,"title":602,"description":603,"published":604,"category":363,"image":605,"draft":367},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" sur Supabase, et le mauvais correctif","\"No API key found in request\" veut dire que votre requête est arrivée sans clé. La plupart des réponses pointent vers les règles de votre base.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":607,"title":608,"description":609,"published":610,"category":363,"image":611,"draft":367},"\u002Fblog\u002Fis-base44-safe","Base44 est-il sûr ? Ce que 5 442 applications ont montré","Base44 est-il sûr ? Neuf vérifications sur 5 442 applications Base44 en ligne. Presque toutes ont eu un B, pour des raisons que personne n’a choisies.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":347,"title":613,"description":614,"published":615,"category":363,"image":616,"draft":367},"Cacher une clé API : la déplacer dans une Edge Function Supabase","Cacher une clé API veut dire la sortir du navigateur, et une Edge Function Supabase est le plus petit endroit où la mettre. Deux étapes comptent davantage.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":618,"title":619,"description":620,"published":621,"category":363,"image":622,"draft":367},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Votre fichier .env est-il exposé ? Les douze chemins à vérifier","Votre fichier .env est-il exposé sur votre propre serveur web ? Douze adresses vous le disent, et une réponse signifie que tout son contenu est public.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":624,"title":625,"description":626,"published":627,"category":363,"image":628,"draft":367},"\u002Fblog\u002Fis-v0-safe","Sécurité de v0 : les 1 790 applications scannées ont toutes eu A","La sécurité de v0 mesurée sur 1 790 applications en ligne : toutes ont eu A. Seules 17 citaient une base de données, et c’est surtout cela que ce A mesure.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":630,"title":631,"description":632,"published":633,"category":363,"image":634,"draft":367},"\u002Fblog\u002Fis-bolt-safe","Bolt est-il sûr ? Ce que 1 123 applications Bolt ont montré","Bolt est-il sûr ? Neuf vérifications sur 1 123 applications Bolt en ligne. L’hébergement était propre. Les trouvailles : des clés et des tables ouvertes.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":636,"title":637,"description":638,"published":639,"category":363,"image":640,"draft":367},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase en panne, ou est-ce votre app ? Comment le savoir","Supabase est-il en panne, ou est-ce votre app ? Un projet en pause, une base pleine et un bug chez vous se ressemblent. Quatre vérifications les séparent.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":642,"title":643,"description":644,"published":645,"category":363,"image":646,"draft":367},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase chiffre-t-il mes données ? Oui. Ce que cela arrête","Supabase chiffre-t-il les données ? Oui : AES-256 au repos, TLS en transit, SOC 2 et ISO 27001. Ce que couvre chacun, et la fuite qu'aucun n'arrête.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":648,"title":649,"description":650,"published":651,"category":363,"image":652,"draft":367},"\u002Fblog\u002Fsupabase-free-plan-limits","Limites du plan gratuit Supabase : ce qui se passe à chacune","Les limites du plan gratuit Supabase : 500 Mo de base, 5 Go d'egress, aucune sauvegarde. Ce qui se passe à chaque seuil, et ce que change Pro à $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":654,"title":655,"description":656,"published":657,"category":472,"image":658,"draft":367},"\u002Fblog\u002Ftest-your-supabase-backup","Testez votre sauvegarde Supabase avant d'en avoir besoin","Comment tester votre sauvegarde Supabase : la restaurer dans un projet d'exercice, compter les lignes, se connecter, chercher la ligne qui manque.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":660,"title":661,"description":662,"published":663,"category":472,"image":664,"draft":367},"\u002Fblog\u002Fsupabase-backup-github-action","Sauvegarde Supabase gratuite avec une GitHub Action, et le piège","Une sauvegarde Supabase par GitHub Action est gratuite et convient à beaucoup d'apps. Le workflow, la bonne connection string et l'egress de chaque run.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":666,"title":667,"description":668,"published":669,"category":472,"image":670,"draft":367},"\u002Fblog\u002Fdownload-your-supabase-backup","Pourquoi vous ne pouvez pas télécharger votre sauvegarde Supabase","Impossible de télécharger votre sauvegarde Supabase sur un projet récent : la copie quotidienne est physique. Comment le vérifier et garder la vôtre.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":672,"title":673,"description":674,"published":669,"category":363,"image":675,"draft":367},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\" : le grant manquant","Dès le 30 octobre, une nouvelle table Supabase répond \"permission denied for table\" tant que l'accès n'est pas accordé. Le grant de l'e-mail est la moitié.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":677,"title":678,"description":679,"published":680,"category":363,"image":681,"draft":367},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint d'API ouvert est-il un problème de sécurité ?","Votre scan a signalé un endpoint d'API ouvert. Que cela compte dépend de ce qui est revenu, et la plupart de ceux trouvés étaient à la plateforme.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":683,"title":684,"description":685,"published":686,"category":363,"image":687,"draft":367},"\u002Fblog\u002Flovable-security-scan","Scan de sécurité Lovable : ce qu’il ne peut pas prouver","Scan de sécurité Lovable : ce que vérifient le Quick scan et le Deep scan, quand chacun part, et la seule chose qu’un scan de l’intérieur ne prouve pas.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":689,"title":690,"description":691,"published":692,"category":472,"image":693,"draft":367},"\u002Fblog\u002Fsupabase-backup-auth-users","Pourquoi votre dump Supabase ne contient aucun utilisateur","Lancez supabase db dump tout seul et vous obtenez la forme de votre base et aucune de ses lignes, sans le schéma auth où vivent vos utilisateurs.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":695,"title":696,"description":697,"published":698,"category":363,"image":699,"draft":367},"\u002Fblog\u002Fdomain-and-certificate-expiry","Domaine expiré, site hors ligne : ce qui se passe ensuite","Votre domaine a expiré et votre site est hors ligne. Le compte à rebours qui démarre, pourquoi le certificat est le moindre souci, et comment vérifier les deux.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":701,"title":702,"description":703,"published":704,"category":363,"image":705,"draft":367},"\u002Fblog\u002Fis-lovable-safe","Lovable est-il sûr ? Ce que 18 554 applications Lovable ont montré","Lovable est-il sûr ? 18 554 applications, neuf vérifications. La plateforme était la plus propre des cinq. Les trouvailles étaient dans les applications.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":707,"title":708,"description":709,"published":710,"category":363,"image":711,"draft":367},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist de sécurité du vibe coding, en neuf vérifications","Une checklist de sécurité du vibe coding en neuf points, chacun vérifiable de l’extérieur sur votre appli en ligne, et chacun avec un test d’une ligne.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":713,"title":714,"description":715,"published":716,"category":363,"image":717,"draft":367},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Une clé secrète Stripe dans votre frontend peut déplacer de l’argent","Une clé secrète Stripe exposée dans votre frontend peut rembourser, débiter et lire chaque fiche client que vous détenez. Votre clé pk_live_ y a sa place.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":195,"title":719,"description":720,"published":721,"category":363,"image":722,"draft":367},"Variables d’environnement Vite exposées : le préfixe dit publier","Variables d’environnement Vite exposées : votre appli a fait ce que le préfixe demandait. VITE_ et NEXT_PUBLIC_ veulent dire publier, et l’IA ignorait le prix.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":724,"title":725,"description":726,"published":727,"category":363,"image":728,"draft":367},"\u002Fblog\u002Fbase44-source-maps","Sécurité Base44 : ce qu’un scan signale, et ce qui dépend de vous","Sécurité Base44 sur 5 438 applis : trois signalements sur presque chacune sont ceux de la plateforme, la source map est le badge Base44, votre part est courte.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":730,"title":731,"description":732,"published":733,"category":363,"image":734,"draft":367},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI est-il sûr ? L’éditeur, le code et l’appli publiée","Cursor AI est-il sûr ? Trois questions dans une recherche : ce que Cursor garde, ce que son code rate, et si l’appli que vous avez publiée est ouverte.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":736,"title":737,"description":738,"published":739,"category":363,"image":740,"draft":367},"\u002Fblog\u002Fis-replit-safe","Replit est-il sûr ? Ce que 3 042 applications Replit nous ont montré","Replit est-il sûr ? 3 042 applications Replit en ligne, neuf vérifications externes. Les trouvailles étaient dans l’application publiée, pas chez l’hébergeur.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":742,"title":743,"description":744,"published":745,"category":472,"image":746,"draft":367},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup : votre copie de base n'a aucun fichier","Un Supabase storage backup est une tâche à part. Les sauvegardes de la base gardent la liste de vos fichiers et aucun des fichiers, donc chaque upload casse.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":748,"title":749,"description":750,"published":751,"category":472,"image":752,"draft":367},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery Supabase : prix et limites","Le point-in-time recovery de Supabase rembobine votre base à la seconde près sur la dernière semaine. $100 par mois en plus de Pro, et rien que la base.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":754,"title":755,"description":756,"published":757,"category":472,"image":758,"draft":367},"\u002Fblog\u002Fsupabase-project-paused-recover","Projet Supabase en pause ? Vos données sont toujours là","Supabase a mis votre projet en pause après une semaine sans activité. Rien n'est supprimé, Restaurer est à côté du nom, et vous avez un an pour cliquer.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":760,"title":761,"description":762,"published":763,"category":363,"image":764,"draft":367},"\u002Fblog\u002Fsafest-ai-app-builder","Quel builder d'app IA est le plus sûr ? 30 998 apps testées","Quel builder d'app IA est le plus sûr ? Nous avons scanné 30 998 apps actives de Lovable, Base44, Replit, v0 et Bolt. Ce n'est pas le builder qui décide.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":766,"title":767,"description":768,"published":769,"category":363,"image":770,"draft":367},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Activer Row Level Security sur chaque table Supabase, et le prouver","Activer Row Level Security dans Supabase sans politique ferme la table entièrement. Une politique sans le réglage ne fait rien. Voici le SQL, et le test.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":772,"title":773,"description":774,"published":775,"category":363,"image":776,"draft":367},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\" : ce que l'alerte rate","Supabase signale \"RLS disabled in public\" comme une erreur. Elle ne dit rien de la politique de lecture qui laisse votre table tout aussi ouverte.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":778,"title":779,"description":780,"published":781,"category":363,"image":782,"draft":367},"\u002Fblog\u002Frotate-supabase-service-role-key","Faire tourner une clé service_role Supabase qui a fuité","Supabase dit de colmater la fuite d'abord. D'autres guides disent de faire tourner la clé tout de suite. Tout dépend d'où votre clé service_role a fuité.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":784,"title":785,"description":786,"published":787,"category":363,"image":788,"draft":367},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanners de sécurité vibe coding comparés, le nôtre compris","Le meilleur scanner de sécurité vibe coding tient à trois questions qu'aucune liste de fonctions ne traite. Huit outils comparés, avec les prix.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":790,"title":791,"description":792,"published":793,"category":363,"image":794,"draft":367},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker : les cinq vérifications à faire soi-même","Un Supabase security checker lit votre app publiée plutôt que les réglages de votre projet. Voici les cinq vérifications, et comment faire chacune vous-même.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":796,"title":797,"description":798,"published":799,"category":363,"image":800,"draft":367},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner de sécurité vibe coding : ce qu’un scan d’URL rate","Un scanner de sécurité vibe coding lit votre app en ligne depuis l’extérieur. Ce qu’il couvre, les quatre choses qu’il ne voit pas, et comment lire le résultat.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":802,"title":803,"description":804,"published":805,"category":363,"image":806,"draft":367},"\u002Fblog\u002Fmissing-security-headers","En-têtes de sécurité manquants : quand cela compte","Les en-têtes de sécurité manquants sont notre constat le plus fréquent. Contre quoi ils protègent, et quand ils comptent le moins dans votre rapport.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":808,"title":809,"description":810,"published":811,"category":363,"image":812,"draft":367},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","Votre clé API OpenAI est exposée dans votre frontend. Changez-la.","Une clé API OpenAI exposée dans votre frontend ne peut être liée à aucun domaine. Changez-la aujourd'hui, passez par votre serveur et plafonnez la dépense.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":214,"title":814,"description":815,"published":816,"category":363,"image":817,"draft":367},"Clé API exposée dans le frontend : ce que 30 998 applis livrent","Une clé API exposée dans votre frontend est le plus souvent une clé Google Maps. Nous avons scanné 30 998 applis vibe-codées et compté ce qui fuit vraiment.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":819,"title":820,"description":821,"published":822,"category":472,"image":823,"draft":367},"\u002Fblog\u002Fsupabase-backup-tools-compared","Outils de sauvegarde Supabase comparés, le nôtre compris","Quatre familles d'outil de sauvegarde Supabase, ce que chacun copie vraiment, et quand une GitHub Action gratuite bat le fait de payer, nous compris.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":825,"title":826,"description":827,"published":828,"category":363,"image":829,"draft":367},"\u002Fblog\u002Freplit-secrets-explained","Utiliser les secrets sur Replit, et ce qui est publié quand même","Utiliser les secrets sur Replit : en ajouter un, le relire, corriger les deux causes du undefined. Et les clés que l'outil Secrets ne peut pas protéger.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":831,"title":832,"description":833,"published":834,"category":472,"image":835,"draft":367},"\u002Fblog\u002Fback-up-supabase-free-tier","Sauvegardes du plan gratuit Supabase : en faire une sans terminal","Le plan gratuit de Supabase ne fait aucune sauvegarde : la copie vient de vous. Comment la faire depuis le tableau de bord, et ce que le CSV oublie.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":837,"title":838,"description":839,"published":840,"category":363,"image":841,"draft":367},"\u002Fblog\u002Fis-supabase-secure","Supabase est-il sûr ? Oui. Votre projet est une autre question","Supabase est-il sûr ? La plateforme est auditée, chiffrée et testée en intrusion. Sa documentation dit où cela s'arrête et où vos réglages commencent.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":843,"title":844,"description":845,"published":846,"category":363,"image":847,"draft":367},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Où trouver vos clés API Supabase : anon, service_role et URL","L'URL du projet, la clé anon et la clé service_role tiennent sur une page du tableau de bord. Voici où elle est, et laquelle des quatre va dans votre app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":849,"title":850,"description":851,"published":852,"category":363,"image":853,"draft":367},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy sur Supabase : et après ?","\"New row violates row-level security policy\" signifie que Supabase a refusé une écriture. Le correctif rapide rouvre la table à tout le monde.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":855,"title":856,"description":857,"published":858,"category":363,"image":859,"draft":367},"\u002Fblog\u002Fcors-wildcard-security-risk","Un joker CORS est-il un risque de sécurité ? Rarement.","Un joker CORS est-il un risque de sécurité ? C'est souvent le réglage par défaut de votre builder, et il ne livre rien que votre serveur ne donnait déjà.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":861,"title":862,"description":863,"published":864,"category":472,"image":865,"draft":367},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Le branching Supabase n'est pas une sauvegarde de vos données.","Pourquoi le branching Supabase n'est pas une sauvegarde : une branche démarre sans vos données, et un merge ne déplace que le schéma. À quoi il sert vraiment.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":867,"title":868,"description":869,"published":870,"category":472,"image":871,"draft":367},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Restaurer une sauvegarde Supabase, et ce qui casse après","Restaurer une sauvegarde Supabase depuis le tableau de bord ou un fichier de dump, ce que la restauration remplace et pourquoi votre app peut rester cassée.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":873,"title":874,"description":875,"published":876,"category":363,"image":877,"draft":367},"\u002Fblog\u002Fsupabase-storage-bucket-public","Votre bucket Supabase Storage est public. Est-ce un problème ?","Un bucket Supabase Storage public signifie que celui qui a l'URL d'un fichier peut l'ouvrir. Il ne signifie pas que quelqu'un peut lister ce qu'il contient.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":879,"title":880,"description":881,"published":882,"category":363,"image":883,"draft":367},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Une clé API Google dans votre frontend, est-ce un problème ?","Une clé API Google exposée dans votre frontend est la clé que notre scanner trouve le plus souvent, et en général tout va bien. Un réglage gratuit tranche.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":885,"title":886,"description":887,"published":888,"category":472,"image":889,"draft":367},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agent IA a supprimé mes données Supabase. Que puis-je récupérer ?","Un agent IA a supprimé des données de votre base. Ce que vous pouvez récupérer était déjà décidé avant, et les prochaines minutes décident du reste.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":891,"title":892,"description":893,"published":894,"category":363,"image":895,"draft":367},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Qui peut lire votre base Supabase ? Nous avons testé 3 680 apps","N'importe qui peut-il lire votre base de données Supabase sans se connecter ? Nous avons scanné 30 998 apps en ligne créées avec des builders IA.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":897,"title":898,"description":899,"published":894,"category":363,"image":900,"draft":367},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source maps exposées : votre app publie son code original","Une source map exposée laisse n'importe qui lire le code original de votre app, commentaires compris. Le test de 30 secondes, et ce qui compte vraiment.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":902,"title":903,"description":904,"published":905,"category":363,"image":906,"draft":367},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key : la même chose que l'anon key ?","Supabase a remplacé anon et service_role par des clés publiables et secrètes. Laquelle a sa place dans votre app, et laquelle jamais ?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":908,"title":909,"description":910,"published":911,"category":472,"image":912,"draft":367},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase sauvegarde-t-il ma base de données ? Cela dépend du plan.","Supabase sauvegarde-t-il votre base de données ? Chaque jour sur les plans payants, jamais sur le gratuit. Comment savoir ce que vous avez vraiment.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":914,"title":915,"description":916,"published":917,"category":363,"image":918,"draft":367},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security est activé. La table reste publique.","Activer Supabase Row Level Security ne protège pas une table. Ce sont vos politiques, et celle qui a réparé votre app laisse peut-être entrer tout le monde.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":920,"title":921,"description":922,"published":917,"category":472,"image":923,"draft":367},"\u002Fblog\u002Fversion-history-is-not-a-backup","L'historique des versions n'est pas une sauvegarde de vos données.","Lovable et Bolt tiennent un historique des versions de votre code. Votre base de données est un service à part, et revenir en arrière ne la ramène pas.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":925,"title":926,"description":927,"published":928,"category":472,"image":929,"draft":367},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Trois façons de sauvegarder une base Supabase, et ce qui manque","Le tableau de bord, pg_dump et un service géré. Ce que chacun enregistre, ce qu'il laisse de côté sans le dire, et lequel survit à la perte du compte.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":931,"title":932,"description":933,"published":928,"category":363,"image":934,"draft":367},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quelles clés API sont sûres côté navigateur, et lesquelles non","Votre clé anon Supabase est faite pour être publique. Votre clé service_role non, et elle ignore toutes les règles que vous posez. Comment les distinguer.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213642026]