[{"data":1,"prerenderedAt":1055},["ShallowReactive",2],{"blog-fr-certificate-not-trusted":3,"blog-index-fr":524},{"id":4,"title":5,"body":6,"category":482,"cover":483,"coverAlt":484,"description":485,"draft":486,"extension":487,"faq":488,"image":504,"keywords":505,"meta":513,"navigation":514,"ogTitle":5,"path":515,"published":516,"seo":517,"stem":518,"tldr":519,"updated":516,"__hash__":523},"blog_fr\u002Fblog\u002Fcertificate-not-trusted.md","Certificat non approuvé : trois causes autres que l’expiration",{"type":7,"value":8,"toc":468},"minimark",[9,13,16,25,30,33,36,39,131,134,137,141,144,156,186,189,200,204,207,210,238,244,247,251,254,257,260,263,267,270,273,276,281,299,303,306,309,334,339,342,360,364,367,370,377,385,389,392,400,411,420,431,435,460],[10,11,12],"p",{},"Votre application se chargeait très bien hier. Aujourd’hui, quelqu’un vous\nenvoie la capture d’un avertissement du navigateur en pleine page, qui dit que\nla connexion n’est pas privée, et vous demande si votre site a été piraté. Vous\nouvrez le certificat : il est valide jusqu’au printemps prochain. Il n’a donc\npas expiré, et le navigateur dit quand même que le certificat n’est pas\napprouvé.",[10,14,15],{},"Le réflexe évident est de le renouveler, et pour cet écran c’est le mauvais.\nChacune des trois causes ci-dessous touche un certificat qui est déjà dans ses\ndates. Un renouvellement vous donne donc une date d’expiration plus lointaine\nsur un certificat toujours refusé pour une autre raison.",[10,17,18,19,24],{},"Dans ",[20,21,23],"a",{"href":22},"\u002Fblog\u002Fdomain-and-certificate-expiry","notre article sur l’expiration",", le\ncertificat est la licence en vitrine qui dit que cette boutique est bien celle\nde l’enseigne. Le navigateur d’un visiteur lit trois choses sur cette licence\navant de laisser entrer qui que ce soit : la date, le nom de la boutique pour\nlaquelle elle a été émise, et la signature de celui qui l’a émise. L’expiration,\nc’est la date. Cet article parle des deux autres.",[26,27,29],"h2",{"id":28},"certificat-non-approuvé-alors-quil-na-pas-expiré-pourquoi","Certificat non approuvé alors qu’il n’a pas expiré : pourquoi ?",[10,31,32],{},"Parce que le nom ou la signature a échoué, et que le navigateur dresse le même\nmur pour chacune de ses vérifications.",[10,34,35],{},"Un certificat n’est approuvé que s’il nomme exactement l’adresse qui figure dans\nla barre d’adresse du visiteur et s’il a été signé par une autorité à laquelle\nle navigateur fait déjà confiance, avec chaque certificat intermédiaire envoyé\navec lui. Si l’un des deux échoue, Chrome affiche l’avertissement qui dit que la\nconnexion n’est pas privée et Firefox celui qui annonce un risque probable de\nsécurité, exactement comme pour un certificat expiré.",[10,37,38],{},"Ce qui change, ce sont les petits caractères sous l’avertissement. Lisez-les\navant de toucher à quoi que ce soit :",[40,41,42,61],"table",{},[43,44,45],"thead",{},[46,47,48,52,55,58],"tr",{},[49,50,51],"th",{},"Ce que Chrome affiche",[49,53,54],{},"Ce que dit l’explication de Firefox",[49,56,57],{},"Ce que cela veut dire",[49,59,60],{},"Ce qui le corrige",[62,63,64,82,98,113],"tbody",{},[46,65,66,73,76,79],{},[67,68,69],"td",{},[70,71,72],"code",{},"NET::ERR_CERT_COMMON_NAME_INVALID",[67,74,75],{},"Le certificat n’est pas valide pour votre adresse",[67,77,78],{},"Il a été émis pour un autre nom",[67,80,81],{},"Un certificat qui liste exactement votre adresse",[46,83,84,89,92,95],{},[67,85,86],{},[70,87,88],{},"NET::ERR_CERT_AUTHORITY_INVALID",[67,90,91],{},"Le certificat n’est pas approuvé parce qu’il est auto-signé",[67,93,94],{},"Personne ne s’en porte garant, à part le serveur lui-même",[67,96,97],{},"Un certificat d’une vraie autorité",[46,99,100,104,107,110],{},[67,101,102],{},[70,103,88],{},[67,105,106],{},"L’émetteur du certificat est inconnu",[67,108,109],{},"Le navigateur ne peut le relier à aucune autorité de confiance",[67,111,112],{},"La chaîne complète, d’une autorité reconnue",[46,114,115,120,123,126],{},[67,116,117],{},[70,118,119],{},"NET::ERR_CERT_DATE_INVALID",[67,121,122],{},"Le certificat a expiré",[67,124,125],{},"La date",[67,127,128],{},[20,129,130],{"href":22},"Un nouveau certificat",[10,132,133],{},"Chrome affiche le même code pour la deuxième et la troisième ligne, et c’est pour\ncela qu’il vaut la peine d’ouvrir le certificat lui-même.",[10,135,136],{},"Si une seule personne signale l’avertissement et que personne d’autre ne le\nvoit, demandez-lui sur quel réseau elle était. Le code source de Chrome cite un\nréseau wifi qui renvoie ses utilisateurs vers une page de connexion comme l’une\ndes causes de l’erreur de nom. Celle-là disparaît dès qu’elle se connecte au\nréseau.",[26,138,140],{"id":139},"comment-voir-ce-que-dit-le-certificat","Comment voir ce que dit le certificat ?",[10,142,143],{},"Ouvrez-le depuis l’avertissement et lisez deux champs : à qui il a été émis, et\nqui l’a émis.",[10,145,146,147,151,152,155],{},"Dans Chrome, cliquez sur la mention d’alerte à gauche de la barre d’adresse\n(",[148,149,150],"strong",{},"Not secure"," dans un Chrome en anglais) et ouvrez le certificat depuis le\npanneau qui s’affiche. Dans Firefox, cliquez sur ",[148,153,154],{},"Advanced"," dans\nl’avertissement, puis sur le lien vers le certificat du site (ce sont leurs noms\ndans un Firefox en anglais). Les deux navigateurs nomment les mêmes champs\ndifféremment :",[157,158,159,175],"ul",{},[160,161,162,163,166,167,170,171,174],"li",{},"Le champ qui dit à qui le certificat a été émis (",[148,164,165],{},"Issued To"," dans un Chrome\nen anglais, ",[148,168,169],{},"Subject Name"," dans Firefox) donne le nom pour lequel il a été\nfait. La liste complète des noms qu’il couvre se trouve sous ",[148,172,173],{},"Subject\nAlternative Name",", et c’est cette liste que le navigateur compare à\nl’adresse.",[160,176,177,178,181,182,185],{},"Le champ qui dit qui l’a émis (",[148,179,180],{},"Issued By"," dans Chrome, ",[148,183,184],{},"Issuer Name"," dans\nFirefox) donne l’autorité qui l’a signé.",[10,187,188],{},"Chacune des trois causes s’y lit différemment :",[157,190,191,194,197],{},[160,192,193],{},"Le certificat nomme une autre adresse. C’est la cause 1.",[160,195,196],{},"Le titulaire et l’émetteur portent le même nom. Il s’est signé lui-même :\nc’est la cause 2.",[160,198,199],{},"Il nomme votre adresse, l’émetteur est une autorité dont vous avez entendu\nparler, et le navigateur le refuse quand même. C’est la cause 3, la chaîne.",[26,201,203],{"id":202},"cause-1-le-certificat-est-pour-une-autre-adresse","Cause 1 : le certificat est pour une autre adresse",[10,205,206],{},"Le certificat est authentique et dans ses dates, et il a été émis pour un autre\nnom. C’est la licence d’une autre boutique, accrochée dans votre vitrine.",[10,208,209],{},"Il se présente sous trois formes :",[157,211,212,218,232],{},[160,213,214,217],{},[148,215,216],{},"Votre domaine pointe vers un hébergeur qui n’a pas encore de certificat pour\nlui."," L’hébergeur répond avec le certificat qu’il a, émis à un nom qui lui\nappartient. La documentation de Lovable le dit clairement : tant que le\ncertificat n’est pas prêt, le navigateur affiche un avertissement de sécurité\nà la place de votre site.",[160,219,220,223,224,227,228,231],{},[148,221,222],{},"Le certificat couvre une écriture de votre adresse et le visiteur a tapé\nl’autre."," ",[70,225,226],{},"www.yourapp.com"," et ",[70,229,230],{},"yourapp.com"," sont deux noms pour un\ncertificat, et chacun doit figurer sur sa liste.",[160,233,234,237],{},[148,235,236],{},"Une partie de votre DNS pointe encore vers un endroit que vous avez\nquitté."," Un ancien hébergeur, ou la page de parking que votre bureau\nd’enregistrement affichait avant que vous connectiez quoi que ce soit, répond\nsur ce nom avec un certificat à lui.",[239,240],"diagram",{"alt":241,"caption":242,"src":243},"Deux lignes. Dans chacune, une barre d’adresse contenant yourapp.com est à côté d’une carte de certificat qui liste les noms couverts. En haut, la carte ne liste que www.yourapp.com et la ligne se termine par une croix. En bas, elle liste les deux noms et la ligne se termine par une coche.","Pour un certificat, l’adresse avec www et celle sans sont deux noms. L’adresse de la barre doit figurer sur la liste.","\u002Fblog\u002Fcertificate-not-trusted\u002Fone-name-missing-1600x660.png",[10,245,246],{},"Chez Lovable et Vercel, vous n’achetez pas et n’installez pas ce certificat\nvous-même. L’hébergeur en émet un pour chaque nom que vous ajoutez dans ses\nréglages de domaine, une fois que votre DNS fait pointer ce nom vers lui. La\ndocumentation de Lovable ajoute qu’un certificat acheté auprès de votre bureau\nd’enregistrement n’est pas du tout utilisé par son hébergement. Ajoutez les deux\nécritures, faites pointer les deux vers l’hébergeur, et attendez que chacune\napparaisse comme active.",[26,248,250],{"id":249},"cause-2-le-certificat-sest-signé-lui-même","Cause 2 : le certificat s’est signé lui-même",[10,252,253],{},"Personne ne se porte garant de ce certificat, à part le serveur qui le présente.\nC’est une licence que le commerçant a imprimée chez lui.",[10,255,256],{},"Tous les navigateurs en refusent un sur un site public, et c’est voulu. Un\ncommentaire du code source de Chrome en donne la raison en une ligne : un\ncertificat auto-signé n’offre aucune protection contre un attaquant placé entre\nvotre visiteur et votre application.",[10,258,259],{},"On le rencontre sur des serveurs que quelqu’un a montés à la main : un serveur\nloué, un outil auto-hébergé, un réglage de test qui est passé en production avec\nl’application. Un builder émet de vrais certificats pour les domaines que vous\nlui ajoutez. Un certificat auto-signé sur une application hébergée par un\nbuilder veut donc dire que quelque chose d’autre que le builder répond sur votre\nadresse. Vérifiez où pointe votre DNS avant de changer quoi que ce soit d’autre.",[10,261,262],{},"La solution est un certificat émis par une vraie autorité. Let’s Encrypt en\német gratuitement, et c’est l’autorité qu’utilise Vercel quand il émet le vôtre.",[26,264,266],{"id":265},"cause-3-un-maillon-de-la-chaîne-na-jamais-été-envoyé","Cause 3 : un maillon de la chaîne n’a jamais été envoyé",[10,268,269],{},"Le certificat est pour votre adresse et a été signé par une vraie autorité, mais\nle serveur l’a envoyé sans le certificat intermédiaire, si bien que le navigateur\nne peut le relier à personne en qui il a confiance. La licence a été signée par\nune succursale, et la lettre du siège qui se porte garant de cette succursale\nmanque dans la vitrine.",[10,271,272],{},"Mozilla qualifie un certificat intermédiaire manquant de l’un des problèmes de\nconfiguration de serveur les plus courants. Firefox télécharge désormais à\nl’avance une copie de chaque certificat intermédiaire de confiance, pour que ses\nutilisateurs ne rencontrent plus l’erreur.",[10,274,275],{},"C’est ce qui rend cette cause difficile à voir : tout peut sembler normal sur\nvotre ordinateur et échouer chez quelqu’un d’autre. Un navigateur qui a sa\npropre copie du maillon manquant comble le trou. Un logiciel qui n’utilise que ce\nqu’envoie votre serveur n’a rien pour le combler. Notre scanner est ce genre de\nlogiciel, et c’est pourquoi il peut signaler un certificat comme non approuvé\nalors que votre propre navigateur affiche un cadenas.",[239,277],{"alt":278,"caption":279,"src":280},"Un serveur envoie un certificat à deux visiteurs. Entre le certificat et l’autorité de confiance, il devrait y avoir un second certificat, et le serveur ne l’a pas envoyé. Le premier visiteur a une copie du certificat manquant et obtient une coche. Le second n’a rien et obtient une croix.","La même chaîne incomplète, envoyée à deux visiteurs. Seul celui qui avait déjà le maillon manquant peut la compléter.","\u002Fblog\u002Fcertificate-not-trusted\u002Fthe-missing-link-1600x700.png",[10,282,283,284,287,288,291,292,298],{},"Chez un builder, la chaîne est gérée pour vous. Elle manque sur les serveurs\nconfigurés à la main, et la solution y est de servir le certificat suivi du\ncertificat intermédiaire, dans un seul fichier. Si vous utilisez certbot de\nLet’s Encrypt, ce fichier est ",[70,285,286],{},"fullchain.pem",", et l’erreur consiste à pointer\nvotre serveur vers ",[70,289,290],{},"cert.pem"," à la place. Pour vérifier de l’extérieur,\n",[20,293,297],{"href":294,"rel":295},"https:\u002F\u002Fwww.ssllabs.com\u002Fssltest\u002F",[296],"nofollow","le test de serveur gratuit de SSL Labs","\nsignale un certificat intermédiaire manquant comme un problème de chaîne.",[26,300,302],{"id":301},"le-cas-du-domaine-personnalisé-dans-lordre","Le cas du domaine personnalisé, dans l’ordre",[10,304,305],{},"Quand vous connectez votre propre domaine à un builder, les visiteurs voient cet\navertissement tant que l’hébergeur n’a pas de certificat pour votre nom, et\nl’avertissement dit vrai. Il s’arrête tout seul une fois le certificat émis.",[10,307,308],{},"L’ordre, chez Lovable :",[310,311,312,321,324,327],"ol",{},[160,313,314,315,317,318,320],{},"Ajoutez le domaine dans Lovable. Il configure ",[70,316,230],{}," et\n",[70,319,226],{}," et les liste séparément.",[160,322,323],{},"Changez les enregistrements DNS chez votre bureau d’enregistrement pour les\nvaleurs que Lovable vous donne. Selon Lovable, la plupart des changements\nsont actifs en quelques heures, et la propagation peut prendre jusqu’à 72\nheures.",[160,325,326],{},"Lovable vérifie le domaine et émet le certificat. Vercel fonctionne de la\nmême façon : il prouve automatiquement à Let’s Encrypt que le nom est à\nvous, tant que le domaine pointe vers Vercel.",[160,328,329,330,333],{},"Ouvrez le site quand le domaine apparaît comme ",[148,331,332],{},"Live",". C’est le conseil de\nLovable lui-même.",[239,335],{"alt":336,"caption":337,"src":338},"Une frise. Une silhouette fait pointer un nom vers un hébergeur, et à partir de là un tronçon ambre portant un signe d’alerte court jusqu’à un sceau qui marque l’émission du certificat. Ensuite la ligne passe à la couleur d’accent, avec un cadenas. Un trait plus loin porte le nombre 72.","Entre le moment où votre domaine pointe vers l’hébergeur et l’arrivée du certificat, l’avertissement est correct. Lovable vous demande de contacter son support s’il est toujours là après 72 heures.","\u002Fblog\u002Fcertificate-not-trusted\u002Fthe-wait-is-the-warning-1600x560.png",[10,340,341],{},"Si l’avertissement est toujours là après 72 heures, Lovable vous demande de\ncontacter son support. Deux réglages valent la peine d’être vérifiés avant\nd’écrire :",[157,343,344,354],{},[160,345,346,349,350,353],{},[148,347,348],{},"Cherchez un enregistrement CAA."," C’est une entrée DNS qui indique quelles\nautorités peuvent émettre des certificats pour votre domaine. Une entrée qui\noublie l’autorité de votre hébergeur bloque le certificat, et un sous-domaine\nhérite des enregistrements CAA du domaine parent quand il n’en a pas à lui.\n",[20,351,352],{"href":22},"L’article sur l’expiration"," croise le\nmême enregistrement comme raison d’un renouvellement qui échoue. Ici, il\nempêche le tout premier certificat d’être émis.",[160,355,356,359],{},[148,357,358],{},"Cherchez un proxy devant."," Si votre DNS est chez Cloudflare avec le nuage\norange activé sur les enregistrements que votre hébergeur vous a donnés, c’est\nCloudflare qui répond à la place de votre hébergeur. Lovable dit qu’il ne peut\nalors ni vérifier le domaine ni émettre de certificat pour lui, et Lovable\ncomme Vercel disent de passer ces enregistrements en DNS only.",[26,361,363],{"id":362},"ce-que-nous-avons-trouvé-sur-30-879-applications","Ce que nous avons trouvé sur 30 879 applications",[10,365,366],{},"Huit avaient un certificat qu’aucun navigateur n’approuverait, et chacune était\nsur un domaine que son propriétaire avait connecté.",[10,368,369],{},"En août 2026, notre scan a lu le certificat de 30 879 applications en ligne :\n29 927 sur le sous-domaine propre d’un builder et 952 sur un domaine à elles.\nLes huit certificats non approuvés étaient tous parmi les 952, un peu moins d’un\nsur cent. Aucune des applications sur le sous-domaine d’un builder n’en avait,\nce qui colle avec tout ce qui précède. Sur l’adresse propre du builder, c’est le\nbuilder qui possède le nom et le certificat.",[10,371,372,373,376],{},"Notre constat enregistre que le certificat a échoué, sans dire laquelle des trois\ncauses c’était, donc nous ne pouvons pas vous dire comment les huit se\nrépartissent. Les certificats expirés ou proches de l’expiration du même scan\nsont comptés dans ",[20,374,375],{"href":22},"l’article sur l’expiration",".",[10,378,379,380,384],{},"Pour vérifier votre propre application, ",[20,381,383],{"href":382},"\u002Fsecurity-scanner","notre scan gratuit","\nlit le certificat que votre serveur envoie, depuis l’extérieur, et nomme ce\nconstat quand il le voit. Cela prend environ 20 secondes et ne demande aucun\ncompte.",[26,386,388],{"id":387},"le-repérer-la-prochaine-fois-que-quelque-chose-change","Le repérer la prochaine fois que quelque chose change",[10,390,391],{},"Un certificat passe d’approuvé à refusé quand quelque chose change autour de\nlui : un nouveau domaine, un déménagement DNS, un proxy activé. La vérification\nqui compte est celle qui tourne après le changement.",[10,393,394,399],{},[148,395,396],{},[20,397,398],{"href":382},"Scannez votre application gratuitement"," pour voir ce que\nreçoit aujourd’hui le navigateur d’un visiteur.",[157,401,402,405,408],{},[160,403,404],{},"Lit le certificat que votre serveur envoie, depuis l’extérieur, avec huit\nautres vérifications.",[160,406,407],{},"Nomme le constat quand le certificat n’est pas approuvé, et quand il a expiré\nou est sur le point de le faire.",[160,409,410],{},"Environ 20 secondes, et aucun compte.",[10,412,413,419],{},[148,414,415],{},[20,416,418],{"href":417},"\u002Fwebsite-monitoring","Reeve Monitor"," pour l’apprendre peu après le changement.",[157,421,422,425,428],{},[160,423,424],{},"Vérifie votre application toutes les 60 secondes, et un certificat auquel il\nne peut pas faire confiance compte comme une panne de votre application. Vous\nêtes donc prévenu comme pour n’importe quelle panne.",[160,426,427],{},"Relance les neuf vérifications toutes les heures et vous envoie un e-mail\nquand votre note baisse.",[160,429,430],{},"Couvre jusqu’à trois applications.",[26,432,434],{"id":433},"ce-quil-faut-faire-maintenant","Ce qu’il faut faire maintenant",[436,437,438],"key-takeaways",{},[157,439,440,443,446,454,457],{},[160,441,442],{},"Lisez le code sous l’avertissement avant de renouveler quoi que ce soit. Une erreur de date demande un nouveau certificat. Une erreur de nom ou d’autorité demande autre chose.",[160,444,445],{},"Ouvrez le certificat et comparez le nom pour lequel il a été émis avec l’adresse de la barre, et avec le nom de celui qui l’a émis.",[160,447,448,449,227,451,453],{},"Chez un builder, ajoutez ",[70,450,230],{},[70,452,226],{}," dans ses réglages de domaine et faites pointer les deux vers lui.",[160,455,456],{},"Si un nouveau domaine affiche encore l’avertissement après 72 heures, cherchez un enregistrement CAA ou un proxy devant l’hébergeur avant de contacter le support.",[160,458,459],{},"Sur un serveur que vous gérez vous-même, servez la chaîne complète et vérifiez-la de l’extérieur avec SSL Labs.",[10,461,462,463,467],{},"Quand l’avertissement a disparu et que l’application ne se charge toujours pas,\nla question suivante est de savoir si c’est votre application ou la plateforme\nen dessous, et\n",[20,464,466],{"href":465},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase est-il en panne, ou est-ce votre application","\nmontre comment faire la différence.",{"title":469,"searchDepth":470,"depth":470,"links":471},"",3,[472,474,475,476,477,478,479,480,481],{"id":28,"depth":473,"text":29},2,{"id":139,"depth":473,"text":140},{"id":202,"depth":473,"text":203},{"id":249,"depth":473,"text":250},{"id":265,"depth":473,"text":266},{"id":301,"depth":473,"text":302},{"id":362,"depth":473,"text":363},{"id":387,"depth":473,"text":388},{"id":433,"depth":473,"text":434},"Bases de la sécurité","\u002Fblog\u002Fcertificate-not-trusted\u002Fcover-1200x630.png","Carte de certificat, sceau et date en couleur d’accent, sous une barre d’adresse au nom plus long que le nom ambre de la carte.","Certificat non approuvé alors que la date est bonne ? Il nomme une autre adresse, il s’est signé lui-même ou il manque un maillon à sa chaîne.",false,"md",[489,492,495,498,501],{"q":490,"a":491},"Pourquoi mon site dit « connexion non privée » alors que mon certificat n’a pas expiré ?","Parce que la date n’est qu’une des trois choses qu’un navigateur vérifie, et que les deux autres échouent toutes seules. Le certificat doit aussi nommer exactement l’adresse que le visiteur a tapée, et être signé par une autorité à laquelle le navigateur fait confiance, avec chaque certificat intermédiaire envoyé avec lui. Un certificat qui échoue à l’une de ces vérifications reçoit le même avertissement pleine page qu’un certificat expiré, et le renouveler ne change rien.",{"q":493,"a":494},"Qu’est-ce qu’une erreur de nom de certificat ?","Un certificat émis pour une adresse et présenté sur une autre. Chrome le signale par NET::ERR_CERT_COMMON_NAME_INVALID et Firefox indique que le certificat n’est pas valide pour votre adresse. Le certificat lui-même est en général authentique et dans ses dates. Il appartient simplement à un autre nom, souvent celui de votre hébergeur, et c’est ce qu’un hébergeur présente sur votre domaine avant d’en avoir émis un pour vous.",{"q":496,"a":497},"Pourquoi www fonctionne et pas le domaine sans www ?","Parce que pour un certificat, ce sont deux noms différents. Soit le certificat n’en liste qu’un, soit le DNS de l’autre pointe encore ailleurs, par exemple vers la page de parking de votre bureau d’enregistrement ou un ancien hébergeur, qui répond avec un certificat à lui. Lovable connecte les deux et les liste séparément : vérifiez que chacun apparaît comme actif.",{"q":499,"a":500},"Combien de temps prend le certificat d’un domaine personnalisé ?","Selon Lovable, la configuration d’un domaine se termine en général en quelques minutes mais peut prendre plusieurs heures, les changements DNS peuvent mettre jusqu’à 72 heures à se propager, et il faut contacter son support si le certificat n’est pas émis après 72 heures. Tant qu’il ne l’est pas, les visiteurs voient un avertissement de sécurité à la place de votre site.",{"q":502,"a":503},"Un certificat auto-signé est-il parfois acceptable ?","Sur votre propre machine, pour développer, oui. Sur un site que le public visite, non. Le navigateur de chaque visiteur le refuse, et un commentaire du code source de Chrome note qu’un certificat auto-signé n’offre aucune protection contre un attaquant placé entre le visiteur et le site.","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",[506,507,508,509,510,511,512],"certificat non approuvé","certificat ssl non approuvé navigateur","votre connexion n’est pas privée domaine personnalisé","nom du certificat ne correspond pas","certificat auto-signé avertissement site","net::err_cert_common_name_invalid","net::err_cert_authority_invalid",{},true,"\u002Fblog\u002Fcertificate-not-trusted","2026-10-26",{"title":5,"description":485},"blog\u002Fcertificate-not-trusted",[520,521,522],"Un certificat non approuvé par les navigateurs peut être parfaitement dans ses dates. Il est refusé parce qu’il nomme une autre adresse, parce qu’il s’est signé lui-même, ou parce qu’il est arrivé sans le certificat qui se porte garant de lui.","L’écran d’avertissement est le même que pour un certificat expiré, et le renouveler ne corrige aucune des trois causes. Le code affiché sous l’avertissement vous dit laquelle vous avez.","Chez Lovable et Vercel, un domaine personnalisé affiche cet avertissement tant que son certificat n’est pas émis. Cette attente est normale. Un avertissement qui dure plus longtemps veut dire que quelque chose bloque le certificat.","7ioq6BtbBgXAcyjWi7bBw2N5UOO_jLA6mFsCjqiJulo",[525,531,537,543,549,555,561,567,573,579,585,592,598,604,610,611,617,623,629,635,641,647,653,659,665,671,677,683,689,695,701,707,713,719,725,731,737,743,749,755,760,766,772,778,784,790,795,801,807,813,818,824,830,836,842,848,854,860,866,872,878,884,890,896,902,908,914,920,926,932,938,944,950,956,962,968,974,980,986,992,998,1004,1010,1016,1021,1027,1033,1039,1044,1050],{"path":526,"title":527,"description":528,"published":529,"category":482,"image":530,"draft":486},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\" expliqué","Supabase \"max client connections reached\" : le pooler n'a plus de place pour un client de plus. Le port de votre chaîne de connexion fixe la limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":532,"title":533,"description":534,"published":535,"category":482,"image":536,"draft":486},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Erreur Supabase : \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\" : la connexion Google est désactivée dans votre projet Supabase. Comment l'activer, et redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":538,"title":539,"description":540,"published":541,"category":482,"image":542,"draft":486},"\u002Fblog\u002Fviolates-foreign-key-constraint","Erreur Supabase \"violates foreign key constraint\" à l'insertion","Supabase \"insert or update on table violates foreign key constraint\" : votre ligne pointe vers une ligne absente. Laquelle, pourquoi, et la solution.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":544,"title":545,"description":546,"published":547,"category":482,"image":548,"draft":486},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Erreur Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\" : une colonne obligatoire est arrivée vide. D'où vient le null, et la solution.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":550,"title":551,"description":552,"published":553,"category":482,"image":554,"draft":486},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\" : où est passée la session","\"Auth session missing!\" : supabase-js n'a trouvé aucune session connectée et n'a même pas interrogé Supabase. Où est passée la session, et la solution.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":556,"title":557,"description":558,"published":559,"category":482,"image":560,"draft":486},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\" : personne de connecté","\"invalid claim: missing sub claim\" : Supabase Auth a reçu un vrai jeton qui ne nomme personne, la clé du projet à la place d'une session.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":562,"title":563,"description":564,"published":565,"category":482,"image":566,"draft":486},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\" : la vraie cause","\"Failed to send a request to the Edge Function\" : le navigateur n'a reçu aucune réponse lisible. Sa console dit pourquoi, et si votre fonction a tourné.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":568,"title":569,"description":570,"published":571,"category":482,"image":572,"draft":486},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Pourquoi les liens e-mail de Supabase redirigent vers localhost:3000","Si Supabase redirige vers localhost:3000, la Site URL n'a jamais été changée ou votre adresse manque dans Redirect URLs. La solution, et le joker à éviter.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":574,"title":575,"description":576,"published":577,"category":482,"image":578,"draft":486},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" sur un lien neuf","Sur un lien envoyé il y a une minute, \"Email link is invalid or has expired\" de Supabase signifie souvent qu'un filtre de messagerie l'a utilisé avant.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":580,"title":581,"description":582,"published":583,"category":482,"image":584,"draft":486},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\" expliqué","Supabase \"canceling statement due to statement timeout\" : une requête a dépassé la limite de son rôle, 3 secondes pour un visiteur. Vérifiez la règle RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":586,"title":587,"description":588,"published":589,"category":590,"image":591,"draft":486},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" sur Supabase, et ce qui part avec","\"Database error deleting user\" sur Supabase : votre base a refusé la suppression. La cause est dans vos logs, et la solution décide de ce qui part avec.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":593,"title":594,"description":595,"published":596,"category":482,"image":597,"draft":486},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" sur Supabase","Un webhook Stripe dans une Edge Function Supabase affiche \"No signatures found matching the expected signature\" ? Deux causes. Gardez la vérification.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":599,"title":600,"description":601,"published":602,"category":482,"image":603,"draft":486},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" dans Supabase : les trois causes","Supabase répond \"Invalid login credentials\" à un mauvais mot de passe, un e-mail inconnu et un compte Google. Comment savoir lequel.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":605,"title":606,"description":607,"published":608,"category":482,"image":609,"draft":486},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\" : la vraie erreur","\"Edge Function returned a non-2xx status code\" signifie que votre fonction Supabase a répondu par une erreur. Voici où lire la vraie.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":515,"title":5,"description":485,"published":516,"category":482,"image":504,"draft":486},{"path":612,"title":613,"description":614,"published":615,"category":482,"image":616,"draft":486},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\" : lisez les guillemets","Supabase \"invalid input syntax for type uuid\" : votre app a envoyé autre chose qu'un id. Lisez les guillemets, retenez la requête, gardez la colonne.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":618,"title":619,"description":620,"published":621,"category":482,"image":622,"draft":486},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\" expliqué","Supabase \"duplicate key value violates unique constraint\" : la valeur est déjà prise. Trouver la colonne, choisir un correctif, garder la valeur hors écran.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":624,"title":625,"description":626,"published":627,"category":482,"image":628,"draft":486},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" alors que la table existe","Supabase \"relation does not exist\" ou PGRST205 : aucune table ne porte ce nom dans ce schéma. Quatre vérifications, et ce qu'ouvre un schéma exposé.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":630,"title":631,"description":632,"published":633,"category":482,"image":634,"draft":486},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" cite les noms d'arguments envoyés par votre application. Comparez-les à la fonction.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":636,"title":637,"description":638,"published":639,"category":482,"image":640,"draft":486},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" vient le plus souvent du nom. Quatre vérifications, et la ligne qui recharge le cache.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":642,"title":643,"description":644,"published":645,"category":482,"image":646,"draft":486},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\" : deux limites, un code","Supabase \"Email Rate Limit Exceeded\" plafonne chaque e-mail de votre projet : 2 par heure avec l'expéditeur intégré. Ce qui compte, et comment le relever.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":648,"title":649,"description":650,"published":651,"category":482,"image":652,"draft":486},"\u002Fblog\u002Fsupabase-users-logged-out","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" : 3 causes","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" déconnecte vos utilisateurs. Trois causes, et comment le log Auth les distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":654,"title":655,"description":656,"published":657,"category":482,"image":658,"draft":486},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\" : trois causes","Supabase \"permission denied for schema public\" signale un grant manquant sur le schéma. Ce qui l'a retiré, et la ligne qui le remet.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":660,"title":661,"description":662,"published":663,"category":482,"image":664,"draft":486},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\" : les trois choses que cela veut dire","Supabase \"Bucket not found\", c'est une de trois choses : un lien public vers un bucket privé, un nom pas tout à fait exact, ou le mauvais projet.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":666,"title":667,"description":668,"published":669,"category":482,"image":670,"draft":486},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT : quelle clé a cessé de marcher ?","Une erreur Supabase invalid JWT, c'est PGRST301 : un jeton signé n'a pas passé la vérification. Sur un projet récent, c'est la session, pas la clé API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":672,"title":673,"description":674,"published":675,"category":482,"image":676,"draft":486},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" veut dire zéro ligne","Supabase renvoie PGRST116, \"JSON object requested, multiple (or no) rows returned\", quand la requête n'a rien trouvé. Une ligne cachée semble absente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":678,"title":679,"description":680,"published":681,"category":482,"image":682,"draft":486},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" sur Supabase : où regarder","\"Database error saving new user\" veut dire que quelque chose rattaché à votre inscription Supabase a échoué. La vraie erreur est dans vos logs.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":684,"title":685,"description":686,"published":687,"category":482,"image":688,"draft":486},"\u002Fblog\u002Fwhat-is-supabase","Qu'est-ce que Supabase ? La base que votre builder a choisie","Qu'est-ce que Supabase : la base de données, la connexion et le stockage de fichiers de votre app. Les règles sur qui lit vos lignes sont à vous.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":690,"title":691,"description":692,"published":693,"category":482,"image":694,"draft":486},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Une clé AWS exposée dans le frontend n'est pas une clé OpenAI","Une clé d'accès AWS exposée dans votre frontend lit et écrit votre stockage. La solution est en général une presigned URL, pas une nouvelle clé.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":696,"title":697,"description":698,"published":699,"category":482,"image":700,"draft":486},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" à l'upload","\"New row violates row-level security policy for table objects\" signifie que votre upload n'a pas de règle insert. Rendre le bucket public n'en ajoute aucune.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":702,"title":703,"description":704,"published":705,"category":482,"image":706,"draft":486},"\u002Fblog\u002Fbase44-security-scan","Scan de sécurité Base44 : ce que lui seul peut voir","Le scan de sécurité Base44 vérifie sept types de problèmes depuis l’intérieur. Voici la moitié que lui seul lit, et celle qu’il ne regarde jamais.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":708,"title":709,"description":710,"published":711,"category":482,"image":712,"draft":486},"\u002Fblog\u002Fapi-key-leaked-what-to-do","Votre clé API a fuité. L'ordre dans lequel agir","Une clé API a fuité et vous ne savez pas par quoi commencer. Toutes les clés de votre frontend n'en sont pas une, et l'ordre compte plus que la vitesse.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":714,"title":715,"description":716,"published":717,"category":482,"image":718,"draft":486},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" sans désactiver RLS","\"Infinite recursion detected in policy for relation\" signifie que votre policy a interrogé la table qu'elle protège. Voici comment rompre le cercle.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":720,"title":721,"description":722,"published":723,"category":482,"image":724,"draft":486},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" sur Supabase, et le mauvais correctif","\"No API key found in request\" veut dire que votre requête est arrivée sans clé. La plupart des réponses pointent vers les règles de votre base.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":726,"title":727,"description":728,"published":729,"category":482,"image":730,"draft":486},"\u002Fblog\u002Fis-base44-safe","Base44 est-il sûr ? Ce que 5 442 applications ont montré","Base44 est-il sûr ? Neuf vérifications sur 5 442 applications Base44 en ligne. Presque toutes ont eu un B, pour des raisons que personne n’a choisies.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":732,"title":733,"description":734,"published":735,"category":482,"image":736,"draft":486},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","Cacher une clé API : la déplacer dans une Edge Function Supabase","Cacher une clé API veut dire la sortir du navigateur, et une Edge Function Supabase est le plus petit endroit où la mettre. Deux étapes comptent davantage.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":738,"title":739,"description":740,"published":741,"category":482,"image":742,"draft":486},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Votre fichier .env est-il exposé ? Les douze chemins à vérifier","Votre fichier .env est-il exposé sur votre propre serveur web ? Douze adresses vous le disent, et une réponse signifie que tout son contenu est public.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":744,"title":745,"description":746,"published":747,"category":482,"image":748,"draft":486},"\u002Fblog\u002Fis-v0-safe","Sécurité de v0 : les 1 790 applications scannées ont toutes eu A","La sécurité de v0 mesurée sur 1 790 applications en ligne : toutes ont eu A. Seules 17 citaient une base de données, et c’est surtout cela que ce A mesure.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":750,"title":751,"description":752,"published":753,"category":482,"image":754,"draft":486},"\u002Fblog\u002Fis-bolt-safe","Bolt est-il sûr ? Ce que 1 123 applications Bolt ont montré","Bolt est-il sûr ? Neuf vérifications sur 1 123 applications Bolt en ligne. L’hébergement était propre. Les trouvailles : des clés et des tables ouvertes.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":465,"title":756,"description":757,"published":758,"category":482,"image":759,"draft":486},"Supabase en panne, ou est-ce votre app ? Comment le savoir","Supabase est-il en panne, ou est-ce votre app ? Un projet en pause, une base pleine et un bug chez vous se ressemblent. Quatre vérifications les séparent.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":761,"title":762,"description":763,"published":764,"category":482,"image":765,"draft":486},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase chiffre-t-il mes données ? Oui. Ce que cela arrête","Supabase chiffre-t-il les données ? Oui : AES-256 au repos, TLS en transit, SOC 2 et ISO 27001. Ce que couvre chacun, et la fuite qu'aucun n'arrête.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":767,"title":768,"description":769,"published":770,"category":482,"image":771,"draft":486},"\u002Fblog\u002Fsupabase-free-plan-limits","Limites du plan gratuit Supabase : ce qui se passe à chacune","Les limites du plan gratuit Supabase : 500 Mo de base, 5 Go d'egress, aucune sauvegarde. Ce qui se passe à chaque seuil, et ce que change Pro à $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":773,"title":774,"description":775,"published":776,"category":590,"image":777,"draft":486},"\u002Fblog\u002Ftest-your-supabase-backup","Testez votre sauvegarde Supabase avant d'en avoir besoin","Comment tester votre sauvegarde Supabase : la restaurer dans un projet d'exercice, compter les lignes, se connecter, chercher la ligne qui manque.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":779,"title":780,"description":781,"published":782,"category":590,"image":783,"draft":486},"\u002Fblog\u002Fsupabase-backup-github-action","Sauvegarde Supabase gratuite avec une GitHub Action, et le piège","Une sauvegarde Supabase par GitHub Action est gratuite et convient à beaucoup d'apps. Le workflow, la bonne connection string et l'egress de chaque run.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":785,"title":786,"description":787,"published":788,"category":590,"image":789,"draft":486},"\u002Fblog\u002Fdownload-your-supabase-backup","Pourquoi vous ne pouvez pas télécharger votre sauvegarde Supabase","Impossible de télécharger votre sauvegarde Supabase sur un projet récent : la copie quotidienne est physique. Comment le vérifier et garder la vôtre.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":791,"title":792,"description":793,"published":788,"category":482,"image":794,"draft":486},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\" : le grant manquant","Dès le 30 octobre, une nouvelle table Supabase répond \"permission denied for table\" tant que l'accès n'est pas accordé. Le grant de l'e-mail est la moitié.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":796,"title":797,"description":798,"published":799,"category":482,"image":800,"draft":486},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint d'API ouvert est-il un problème de sécurité ?","Votre scan a signalé un endpoint d'API ouvert. Que cela compte dépend de ce qui est revenu, et la plupart de ceux trouvés étaient à la plateforme.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":802,"title":803,"description":804,"published":805,"category":482,"image":806,"draft":486},"\u002Fblog\u002Flovable-security-scan","Scan de sécurité Lovable : ce qu’il ne peut pas prouver","Scan de sécurité Lovable : ce que vérifient le Quick scan et le Deep scan, quand chacun part, et la seule chose qu’un scan de l’intérieur ne prouve pas.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":808,"title":809,"description":810,"published":811,"category":590,"image":812,"draft":486},"\u002Fblog\u002Fsupabase-backup-auth-users","Pourquoi votre dump Supabase ne contient aucun utilisateur","Lancez supabase db dump tout seul et vous obtenez la forme de votre base et aucune de ses lignes, sans le schéma auth où vivent vos utilisateurs.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":22,"title":814,"description":815,"published":816,"category":482,"image":817,"draft":486},"Domaine expiré, site hors ligne : ce qui se passe ensuite","Votre domaine a expiré et votre site est hors ligne. Le compte à rebours qui démarre, pourquoi le certificat est le moindre souci, et comment vérifier les deux.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":819,"title":820,"description":821,"published":822,"category":482,"image":823,"draft":486},"\u002Fblog\u002Fis-lovable-safe","Lovable est-il sûr ? Ce que 18 554 applications Lovable ont montré","Lovable est-il sûr ? 18 554 applications, neuf vérifications. La plateforme était la plus propre des cinq. Les trouvailles étaient dans les applications.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":825,"title":826,"description":827,"published":828,"category":482,"image":829,"draft":486},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist de sécurité du vibe coding, en neuf vérifications","Une checklist de sécurité du vibe coding en neuf points, chacun vérifiable de l’extérieur sur votre appli en ligne, et chacun avec un test d’une ligne.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":831,"title":832,"description":833,"published":834,"category":482,"image":835,"draft":486},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Une clé secrète Stripe dans votre frontend peut déplacer de l’argent","Une clé secrète Stripe exposée dans votre frontend peut rembourser, débiter et lire chaque fiche client que vous détenez. Votre clé pk_live_ y a sa place.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":837,"title":838,"description":839,"published":840,"category":482,"image":841,"draft":486},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variables d’environnement Vite exposées : le préfixe dit publier","Variables d’environnement Vite exposées : votre appli a fait ce que le préfixe demandait. VITE_ et NEXT_PUBLIC_ veulent dire publier, et l’IA ignorait le prix.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":843,"title":844,"description":845,"published":846,"category":482,"image":847,"draft":486},"\u002Fblog\u002Fbase44-source-maps","Sécurité Base44 : ce qu’un scan signale, et ce qui dépend de vous","Sécurité Base44 sur 5 438 applis : trois signalements sur presque chacune sont ceux de la plateforme, la source map est le badge Base44, votre part est courte.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":849,"title":850,"description":851,"published":852,"category":482,"image":853,"draft":486},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI est-il sûr ? L’éditeur, le code et l’appli publiée","Cursor AI est-il sûr ? Trois questions dans une recherche : ce que Cursor garde, ce que son code rate, et si l’appli que vous avez publiée est ouverte.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":855,"title":856,"description":857,"published":858,"category":482,"image":859,"draft":486},"\u002Fblog\u002Fis-replit-safe","Replit est-il sûr ? Ce que 3 042 applications Replit nous ont montré","Replit est-il sûr ? 3 042 applications Replit en ligne, neuf vérifications externes. Les trouvailles étaient dans l’application publiée, pas chez l’hébergeur.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":861,"title":862,"description":863,"published":864,"category":590,"image":865,"draft":486},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup : votre copie de base n'a aucun fichier","Un Supabase storage backup est une tâche à part. Les sauvegardes de la base gardent la liste de vos fichiers et aucun des fichiers, donc chaque upload casse.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":867,"title":868,"description":869,"published":870,"category":590,"image":871,"draft":486},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery Supabase : prix et limites","Le point-in-time recovery de Supabase rembobine votre base à la seconde près sur la dernière semaine. $100 par mois en plus de Pro, et rien que la base.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":873,"title":874,"description":875,"published":876,"category":590,"image":877,"draft":486},"\u002Fblog\u002Fsupabase-project-paused-recover","Projet Supabase en pause ? Vos données sont toujours là","Supabase a mis votre projet en pause après une semaine sans activité. Rien n'est supprimé, Restaurer est à côté du nom, et vous avez un an pour cliquer.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":879,"title":880,"description":881,"published":882,"category":482,"image":883,"draft":486},"\u002Fblog\u002Fsafest-ai-app-builder","Quel builder d'app IA est le plus sûr ? 30 998 apps testées","Quel builder d'app IA est le plus sûr ? Nous avons scanné 30 998 apps actives de Lovable, Base44, Replit, v0 et Bolt. Ce n'est pas le builder qui décide.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":885,"title":886,"description":887,"published":888,"category":482,"image":889,"draft":486},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Activer Row Level Security sur chaque table Supabase, et le prouver","Activer Row Level Security dans Supabase sans politique ferme la table entièrement. Une politique sans le réglage ne fait rien. Voici le SQL, et le test.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":891,"title":892,"description":893,"published":894,"category":482,"image":895,"draft":486},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\" : ce que l'alerte rate","Supabase signale \"RLS disabled in public\" comme une erreur. Elle ne dit rien de la politique de lecture qui laisse votre table tout aussi ouverte.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":897,"title":898,"description":899,"published":900,"category":482,"image":901,"draft":486},"\u002Fblog\u002Frotate-supabase-service-role-key","Faire tourner une clé service_role Supabase qui a fuité","Supabase dit de colmater la fuite d'abord. D'autres guides disent de faire tourner la clé tout de suite. Tout dépend d'où votre clé service_role a fuité.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":903,"title":904,"description":905,"published":906,"category":482,"image":907,"draft":486},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanners de sécurité vibe coding comparés, le nôtre compris","Le meilleur scanner de sécurité vibe coding tient à trois questions qu'aucune liste de fonctions ne traite. Huit outils comparés, avec les prix.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":909,"title":910,"description":911,"published":912,"category":482,"image":913,"draft":486},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker : les cinq vérifications à faire soi-même","Un Supabase security checker lit votre app publiée plutôt que les réglages de votre projet. Voici les cinq vérifications, et comment faire chacune vous-même.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":915,"title":916,"description":917,"published":918,"category":482,"image":919,"draft":486},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner de sécurité vibe coding : ce qu’un scan d’URL rate","Un scanner de sécurité vibe coding lit votre app en ligne depuis l’extérieur. Ce qu’il couvre, les quatre choses qu’il ne voit pas, et comment lire le résultat.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":921,"title":922,"description":923,"published":924,"category":482,"image":925,"draft":486},"\u002Fblog\u002Fmissing-security-headers","En-têtes de sécurité manquants : quand cela compte","Les en-têtes de sécurité manquants sont notre constat le plus fréquent. Contre quoi ils protègent, et quand ils comptent le moins dans votre rapport.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":927,"title":928,"description":929,"published":930,"category":482,"image":931,"draft":486},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","Votre clé API OpenAI est exposée dans votre frontend. Changez-la.","Une clé API OpenAI exposée dans votre frontend ne peut être liée à aucun domaine. Changez-la aujourd'hui, passez par votre serveur et plafonnez la dépense.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":933,"title":934,"description":935,"published":936,"category":482,"image":937,"draft":486},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Clé API exposée dans le frontend : ce que 30 998 applis livrent","Une clé API exposée dans votre frontend est le plus souvent une clé Google Maps. Nous avons scanné 30 998 applis vibe-codées et compté ce qui fuit vraiment.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":939,"title":940,"description":941,"published":942,"category":590,"image":943,"draft":486},"\u002Fblog\u002Fsupabase-backup-tools-compared","Outils de sauvegarde Supabase comparés, le nôtre compris","Quatre familles d'outil de sauvegarde Supabase, ce que chacun copie vraiment, et quand une GitHub Action gratuite bat le fait de payer, nous compris.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":945,"title":946,"description":947,"published":948,"category":482,"image":949,"draft":486},"\u002Fblog\u002Freplit-secrets-explained","Utiliser les secrets sur Replit, et ce qui est publié quand même","Utiliser les secrets sur Replit : en ajouter un, le relire, corriger les deux causes du undefined. Et les clés que l'outil Secrets ne peut pas protéger.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":951,"title":952,"description":953,"published":954,"category":590,"image":955,"draft":486},"\u002Fblog\u002Fback-up-supabase-free-tier","Sauvegardes du plan gratuit Supabase : en faire une sans terminal","Le plan gratuit de Supabase ne fait aucune sauvegarde : la copie vient de vous. Comment la faire depuis le tableau de bord, et ce que le CSV oublie.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":957,"title":958,"description":959,"published":960,"category":482,"image":961,"draft":486},"\u002Fblog\u002Fis-supabase-secure","Supabase est-il sûr ? Oui. Votre projet est une autre question","Supabase est-il sûr ? La plateforme est auditée, chiffrée et testée en intrusion. Sa documentation dit où cela s'arrête et où vos réglages commencent.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":963,"title":964,"description":965,"published":966,"category":482,"image":967,"draft":486},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Où trouver vos clés API Supabase : anon, service_role et URL","L'URL du projet, la clé anon et la clé service_role tiennent sur une page du tableau de bord. Voici où elle est, et laquelle des quatre va dans votre app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":969,"title":970,"description":971,"published":972,"category":482,"image":973,"draft":486},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy sur Supabase : et après ?","\"New row violates row-level security policy\" signifie que Supabase a refusé une écriture. Le correctif rapide rouvre la table à tout le monde.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":975,"title":976,"description":977,"published":978,"category":482,"image":979,"draft":486},"\u002Fblog\u002Fcors-wildcard-security-risk","Un joker CORS est-il un risque de sécurité ? Rarement.","Un joker CORS est-il un risque de sécurité ? C'est souvent le réglage par défaut de votre builder, et il ne livre rien que votre serveur ne donnait déjà.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":981,"title":982,"description":983,"published":984,"category":590,"image":985,"draft":486},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Le branching Supabase n'est pas une sauvegarde de vos données.","Pourquoi le branching Supabase n'est pas une sauvegarde : une branche démarre sans vos données, et un merge ne déplace que le schéma. À quoi il sert vraiment.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":987,"title":988,"description":989,"published":990,"category":590,"image":991,"draft":486},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Restaurer une sauvegarde Supabase, et ce qui casse après","Restaurer une sauvegarde Supabase depuis le tableau de bord ou un fichier de dump, ce que la restauration remplace et pourquoi votre app peut rester cassée.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":993,"title":994,"description":995,"published":996,"category":482,"image":997,"draft":486},"\u002Fblog\u002Fsupabase-storage-bucket-public","Votre bucket Supabase Storage est public. Est-ce un problème ?","Un bucket Supabase Storage public signifie que celui qui a l'URL d'un fichier peut l'ouvrir. Il ne signifie pas que quelqu'un peut lister ce qu'il contient.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":999,"title":1000,"description":1001,"published":1002,"category":482,"image":1003,"draft":486},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Une clé API Google dans votre frontend, est-ce un problème ?","Une clé API Google exposée dans votre frontend est la clé que notre scanner trouve le plus souvent, et en général tout va bien. Un réglage gratuit tranche.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1005,"title":1006,"description":1007,"published":1008,"category":590,"image":1009,"draft":486},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agent IA a supprimé mes données Supabase. Que puis-je récupérer ?","Un agent IA a supprimé des données de votre base. Ce que vous pouvez récupérer était déjà décidé avant, et les prochaines minutes décident du reste.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1011,"title":1012,"description":1013,"published":1014,"category":482,"image":1015,"draft":486},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Qui peut lire votre base Supabase ? Nous avons testé 3 680 apps","N'importe qui peut-il lire votre base de données Supabase sans se connecter ? Nous avons scanné 30 998 apps en ligne créées avec des builders IA.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1017,"title":1018,"description":1019,"published":1014,"category":482,"image":1020,"draft":486},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source maps exposées : votre app publie son code original","Une source map exposée laisse n'importe qui lire le code original de votre app, commentaires compris. Le test de 30 secondes, et ce qui compte vraiment.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1022,"title":1023,"description":1024,"published":1025,"category":482,"image":1026,"draft":486},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key : la même chose que l'anon key ?","Supabase a remplacé anon et service_role par des clés publiables et secrètes. Laquelle a sa place dans votre app, et laquelle jamais ?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1028,"title":1029,"description":1030,"published":1031,"category":590,"image":1032,"draft":486},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase sauvegarde-t-il ma base de données ? Cela dépend du plan.","Supabase sauvegarde-t-il votre base de données ? Chaque jour sur les plans payants, jamais sur le gratuit. Comment savoir ce que vous avez vraiment.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1034,"title":1035,"description":1036,"published":1037,"category":482,"image":1038,"draft":486},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security est activé. La table reste publique.","Activer Supabase Row Level Security ne protège pas une table. Ce sont vos politiques, et celle qui a réparé votre app laisse peut-être entrer tout le monde.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1040,"title":1041,"description":1042,"published":1037,"category":590,"image":1043,"draft":486},"\u002Fblog\u002Fversion-history-is-not-a-backup","L'historique des versions n'est pas une sauvegarde de vos données.","Lovable et Bolt tiennent un historique des versions de votre code. Votre base de données est un service à part, et revenir en arrière ne la ramène pas.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1045,"title":1046,"description":1047,"published":1048,"category":590,"image":1049,"draft":486},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Trois façons de sauvegarder une base Supabase, et ce qui manque","Le tableau de bord, pg_dump et un service géré. Ce que chacun enregistre, ce qu'il laisse de côté sans le dire, et lequel survit à la perte du compte.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1051,"title":1052,"description":1053,"published":1048,"category":482,"image":1054,"draft":486},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quelles clés API sont sûres côté navigateur, et lesquelles non","Votre clé anon Supabase est faite pour être publique. Votre clé service_role non, et elle ignore toutes les règles que vous posez. Comment les distinguer.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213641903]