[{"data":1,"prerenderedAt":1131},["ShallowReactive",2],{"blog-fr-failed-to-send-a-request-to-the-edge-function":3,"blog-index-fr":602},{"id":4,"title":5,"body":6,"category":558,"cover":559,"coverAlt":560,"description":561,"draft":562,"extension":563,"faq":564,"image":582,"keywords":583,"meta":590,"navigation":591,"ogTitle":592,"path":593,"published":594,"seo":595,"stem":596,"tldr":597,"updated":594,"__hash__":601},"blog_fr\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function.md","\"Failed to send a request to the Edge Function\" : la vraie cause",{"type":7,"value":8,"toc":547},"minimark",[9,13,24,27,35,40,43,65,68,83,95,99,102,115,122,128,137,154,160,164,167,255,273,282,288,307,326,330,333,352,361,369,376,379,391,397,402,406,409,418,426,429,444,448,454,463,478,488,505,509,532],[10,11,12],"p",{},"Votre app a un bouton qui appelle une Supabase Edge Function, ce petit morceau\nde code serveur qu'une app construite avec Lovable, Bolt, Cursor ou Claude Code\nutilise pour le travail qui ne peut pas se faire dans le navigateur, comme\nappeler OpenAI avec une clé. Vous appuyez dessus et, au lieu d'un résultat,\nvotre app affiche ceci :",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","Failed to send a request to the Edge Function\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26],{},"La fonction est déployée. Appelée depuis un terminal, elle répond peut-être même\nparfaitement. Depuis votre app, elle échoue à chaque fois, et \"failed to send a\nrequest to the Edge Function\" donne l'impression que votre requête n'est jamais\npartie.",[10,28,29,30,34],{},"Elle l'est peut-être bel et bien. ",[31,32,33],"strong",{},"Votre fonction a pu tourner, faire son\ntravail et répondre, et le navigateur a refusé de remettre la réponse à votre\napp."," Lequel des deux s'est produit est écrit à un seul endroit, et ce n'est\npas l'erreur que votre app a reçue.",[36,37,39],"h2",{"id":38},"que-veut-dire-failed-to-send-a-request-to-the-edge-function","Que veut dire \"Failed to send a request to the Edge Function\" ?",[10,41,42],{},"Cela veut dire que supabase-js a demandé une réponse et n'en a reçu aucune qu'il\navait le droit de lire.",[10,44,45,46,53,54,57,58,64],{},"La phrase est un texte fixe dans\n",[47,48,52],"a",{"href":49,"rel":50},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fsupabase-js\u002Fblob\u002Fmaster\u002Fpackages\u002Fcore\u002Ffunctions-js\u002Fsrc\u002Ftypes.ts",[51],"nofollow","supabase-js",",\nattaché à une erreur appelée ",[21,55,56],{},"FunctionsFetchError",". supabase-js la lève quand\nla requête elle-même échoue, avant qu'il y ait le moindre code de statut à lire.\nC'est ce qui la distingue de sa sœur plus connue :\n",[47,59,61],{"href":60},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code",[21,62,63],{},"Edge Function returned a non-2xx status code","\nveut dire qu'une réponse est revenue et que c'était une erreur. Celle-ci veut\ndire qu'aucune réponse lisible n'est revenue du tout.",[10,66,67],{},"Une requête échoue ainsi pour une poignée de raisons. L'appareil est hors ligne,\nl'adresse du projet dans votre app est fausse, ou les règles du navigateur pour\nles autres adresses ont refusé la réponse. Ces règles s'appellent CORS, pour\nCross-Origin Resource Sharing, et elles empêchent une page web de lire une\nréponse venue d'une autre adresse, sauf si la réponse l'autorise. Quand la\nfonction répond depuis un terminal et n'échoue que dans votre app, c'est CORS\nqu'il faut soupçonner, et le navigateur vous dira si c'était bien lui.",[10,69,70,71,74,75,78,79,82],{},"Votre app habite à une adresse, disons ",[21,72,73],{},"yourapp.lovable.app",", et votre fonction\nà une autre, ",[21,76,77],{},"\u003Cproject-ref>.supabase.co",". Voyez le navigateur comme le\nconcierge de votre app. Le courrier venu d'une autre adresse n'est remis à votre\napp que s'il porte une étiquette de l'expéditeur disant que votre app peut\nl'avoir : un en-tête de réponse appelé ",[21,80,81],{},"Access-Control-Allow-Origin",". Pour une\nlettre comme la vôtre, le concierge frappe d'abord à la porte de l'expéditeur\npour demander s'il l'accepte. Et quand il refuse quelque chose, il dit seulement\nà votre app que ça n'a pas marché. La raison, il l'écrit dans son propre\nregistre.",[10,84,85,86,89,90,94],{},"Un troisième message fait partie de la même famille. ",[21,87,88],{},"Relay Error invoking the Edge Function",", c'est supabase-js qui signale que le relais de Supabase n'a pas\npu joindre votre fonction, alors\n",[47,91,93],{"href":92},"\u002Fblog\u002Fis-supabase-down-or-your-app","vérifiez si Supabase a un problème"," avant\nde toucher au code.",[36,96,98],{"id":97},"pourquoi-votre-app-nen-apprend-pas-plus","Pourquoi votre app n'en apprend pas plus",[10,100,101],{},"Parce que le navigateur cache exprès la raison à votre code.",[10,103,104,105,110,111,114],{},"La ",[47,106,109],{"href":107,"rel":108},"https:\u002F\u002Fdeveloper.mozilla.org\u002Fen-US\u002Fdocs\u002FWeb\u002FHTTP\u002FGuides\u002FCORS\u002FErrors",[51],"page de MDN sur les erreurs CORS","\nle dit clairement : pour des raisons de sécurité, le code JavaScript n'a pas\naccès au détail de ce qui s'est mal passé dans une requête CORS. Votre app\napprend que quelque chose a échoué, et rien d'autre. Dans Chrome, l'erreur que\nsupabase-js enveloppe se lit ",[21,112,113],{},"TypeError: Failed to fetch",", un texte que Chromium\nutilise pour toutes les pannes réseau sans distinction, donc l'afficher\nn'apporte rien. Selon la même page de MDN, le seul moyen de savoir ce qui s'est\npassé est la console du navigateur.",[10,116,117,118,121],{},"C'est le registre du concierge. Ouvrez votre app en ligne dans Chrome ou Edge,\nappuyez sur F12, choisissez ",[31,119,120],{},"Console"," et appuyez de nouveau sur le bouton de\nvotre app. La ligne que vous cherchez est rouge et commence ainsi :",[14,123,126],{"className":124,"code":125,"language":19},[17],"Access to fetch at 'https:\u002F\u002F\u003Cproject-ref>.supabase.co\u002Ffunctions\u002Fv1\u002F\u003Cname>' from origin 'https:\u002F\u002Fyourapp.lovable.app' has been blocked by CORS policy:\n",[21,127,125],{"__ignoreMap":23},[10,129,130,131,136],{},"Tout ce qui suit les deux-points est la raison. Firefox et Safari le formulent\nautrement ; les citations de cet article sont celles de Chrome, tirées du\n",[47,132,135],{"href":133,"rel":134},"https:\u002F\u002Fgithub.com\u002Fchromium\u002Fchromium\u002Fblob\u002Fmain\u002Fthird_party\u002Fblink\u002Frenderer\u002Fplatform\u002Floader\u002Fcors\u002Fcors_error_string.cc",[51],"code source de Chromium",".",[10,138,139,140,143,144,147,148,153],{},"Le coup frappé à la porte a un nom technique, la preflight request. C'est une\nrequête avec la méthode ",[21,141,142],{},"OPTIONS"," que le navigateur envoie avant la vôtre, et\nsupabase-js en déclenche toujours une : il envoie votre clé dans un en-tête\n",[21,145,146],{},"Authorization"," et vos données en JSON, et le\n",[47,149,152],{"href":150,"rel":151},"https:\u002F\u002Fdeveloper.mozilla.org\u002Fen-US\u002Fdocs\u002FWeb\u002FHTTP\u002FGuides\u002FCORS",[51],"guide CORS de MDN","\nne compte ni l'un ni l'autre parmi ce qu'une page peut envoyer sans demander\nd'abord.",[155,156],"diagram",{"alt":157,"caption":158,"src":159},"Deux essais du même appel. En haut, la réponse au coup OPTIONS du navigateur revient avec un contour vide là où devrait être son étiquette, le navigateur la refuse, et la requête POST ne part jamais. En bas, la réponse au coup porte son étiquette et passe, la requête POST atteint la fonction, qui fait son travail, et la réponse revient sans étiquette et est arrêtée au contrôle du navigateur.","En haut, le coup est refusé et votre requête ne part jamais. En bas, le coup passe, la fonction fait le travail, et seule sa réponse est retenue.","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fthe-knock-first-1600x760.png",[36,161,163],{"id":162},"quelle-moitié-a-échoué-et-votre-fonction-a-t-elle-tourné","Quelle moitié a échoué, et votre fonction a-t-elle tourné ?",[10,165,166],{},"Les mots \"preflight request\" dans la ligne de la console tranchent. S'ils y\nsont, le navigateur s'est arrêté au coup frappé à la porte et votre requête n'est\njamais partie. S'ils n'y sont pas, votre requête est passée, votre fonction a\ntourné, et sa réponse a été retenue.",[168,169,170,186],"table",{},[171,172,173],"thead",{},[174,175,176,180,183],"tr",{},[177,178,179],"th",{},"La ligne de la console se termine par",[177,181,182],{},"Ce qui s'est passé",[177,184,185],{},"La fonction a-t-elle fait le travail ?",[187,188,189,203,216,228,244],"tbody",{},[174,190,191,197,200],{},[192,193,194],"td",{},[21,195,196],{},"Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource.",[192,198,199],{},"Le coup a reçu une réponse sans étiquette",[192,201,202],{},"Non. Seul le coup l'a atteinte",[174,204,205,210,213],{},[192,206,207],{},[21,208,209],{},"Response to preflight request doesn't pass access control check: It does not have HTTP ok status.",[192,211,212],{},"Le coup a reçu une erreur pour réponse",[192,214,215],{},"Non",[174,217,218,223,226],{},[192,219,220],{},[21,221,222],{},"Request header field \u003Cname> is not allowed by Access-Control-Allow-Headers in preflight response.",[192,224,225],{},"Votre app envoie un en-tête que la liste de la fonction ne nomme pas",[192,227,215],{},[174,229,230,236,239],{},[192,231,232,235],{},[21,233,234],{},"No 'Access-Control-Allow-Origin' header is present on the requested resource.",", sans mention de preflight",[192,237,238],{},"Le coup est passé, votre requête est arrivée, la réponse n'avait pas d'étiquette",[192,240,241],{},[31,242,243],{},"Oui",[174,245,246,249,252],{},[192,247,248],{},"Aucune ligne CORS",[192,250,251],{},"Pas CORS : la connexion, l'adresse ou un délai fixé par votre code",[192,253,254],{},"Regardez l'onglet Invocations",[10,256,257,262,263,268,269,272],{},[31,258,259,260,136],{},"La première ligne est ce que produit une fonction sans gestionnaire\n",[21,261,142],{}," La\n",[47,264,267],{"href":265,"rel":266},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Ftroubleshooting\u002Fedge-function-500-error-response",[51],"page de Supabase sur l'erreur 500","\nle décrit du côté de la fonction : le coup atteint votre code comme n'importe\nquelle requête, et la fonction écrit ",[21,270,271],{},"SyntaxError: Unexpected end of JSON input"," dans ses logs, parce qu'un coup à la porte n'a pas de contenu et que le\ncode a essayé d'en lire un. Sa réponse est une erreur sans en-têtes, et Chrome\nsignale l'en-tête manquant avant de regarder le statut. Si cette ligne est dans\nl'onglet Logs de la fonction, vous avez trouvé.",[10,274,275,278,279,281],{},[31,276,277],{},"La deuxième ligne veut dire que le coup a reçu les en-têtes, et une erreur\navec."," Une façon d'y arriver est une vérification placée au-dessus de la\nbranche ",[21,280,142],{}," que le coup ne peut pas passer, comme une vérification de qui\nappelle. Le coup ne porte aucun de vos en-têtes, votre clé comprise, donc il\néchoue à chaque fois.",[10,283,284,287],{},[31,285,286],{},"La quatrième ligne mérite qu'on ralentisse, parce que le travail a été\nfait."," Si la fonction enregistre une ligne, envoie un e-mail ou débite une\ncarte, c'est fait, et appuyer de nouveau sur le bouton le refait. Ce qui a\néchoué, c'est la réponse, partie sans étiquette. Cherchez d'abord une erreur :\nun plantage, dont votre code n'a jamais eu le temps d'écrire la réponse, ou une\nbranche d'erreur qui renvoie sans les en-têtes. La même page de Supabase\nprévient que le navigateur accuse alors CORS d'un échec dont la vraie cause est\nailleurs.",[10,289,290,291,294,295,298,299,302,303,306],{},"Lisez donc le propre journal de la fonction avant de toucher aux en-têtes. Dans\nle tableau de bord Supabase, ouvrez ",[31,292,293],{},"Edge Functions",", choisissez la fonction,\net lisez ses onglets ",[31,296,297],{},"Invocations"," et ",[31,300,301],{},"Logs"," à la minute où vous avez\nappuyé sur le bouton.\n",[47,304,305],{"href":60},"Lire la vraie erreur","\npasse en revue les deux, et ce que veut dire chaque code de statut.",[10,308,309,312,313,316,317,320,321,325],{},[31,310,311],{},"La dernière ligne veut dire que le concierge n'a rien refusé."," La requête a\néchoué en chemin : l'appareil a perdu sa connexion, ou l'adresse de projet que\nvotre app appelle n'existe pas. Un cas vient de votre propre code. S'il passe un\n",[21,314,315],{},"timeout"," à ",[21,318,319],{},"supabase.functions.invoke",",\n",[47,322,52],{"href":323,"rel":324},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fsupabase-js\u002Fblob\u002Fmaster\u002Fpackages\u002Fcore\u002Ffunctions-js\u002Fsrc\u002FFunctionsClient.ts",[51],"\nannule la requête quand le temps est écoulé et signale cette même phrase, même\nsi la fonction est peut-être encore en train de travailler.",[36,327,329],{"id":328},"comment-corriger-répondre-au-coup-et-étiqueter-chaque-réponse","Comment corriger : répondre au coup, et étiqueter chaque réponse",[10,331,332],{},"Deux changements dans la fonction, et ils vont dans le même déploiement.",[334,335,336,346],"ol",{},[337,338,339,345],"li",{},[31,340,341,342,344],{},"Une branche ",[21,343,142],{}," tout au début",", avant toute ligne qui lit le\ncontenu ou vérifie qui appelle. Elle répond au coup avec les en-têtes CORS,\net rien d'autre.",[337,347,348,351],{},[31,349,350],{},"Les en-têtes CORS sur chaque réponse que la fonction renvoie",", celles qui\nréussissent comme les erreurs. Une réponse sans eux est retenue, quoi\nqu'elle dise.",[10,353,354,355,360],{},"Le ",[47,356,359],{"href":357,"rel":358},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Ffunctions\u002Fcors",[51],"guide CORS de Supabase","\nconstruit une fonction à peu près ainsi :",[14,362,367],{"className":363,"code":365,"language":366,"meta":23},[364],"language-ts","import { corsHeaders } from 'npm:@supabase\u002Fsupabase-js@^2\u002Fcors'\n\nDeno.serve(async (req) => {\n  if (req.method === 'OPTIONS') {\n    return Response.json({ ok: true }, { headers: corsHeaders })\n  }\n  try {\n    const body = await req.json()\n    \u002F\u002F the function's own work goes here\n    return Response.json({ done: true }, { headers: corsHeaders })\n  } catch (error) {\n    const message = error instanceof Error ? error.message : String(error)\n    return Response.json({ error: message }, { status: 400, headers: corsHeaders })\n  }\n})\n","ts",[21,368,365],{"__ignoreMap":23},[10,370,371,372,375],{},"Les en-têtes viennent de supabase-js lui-même plutôt que d'une liste collée dans\nla fonction. Le guide les importe ainsi depuis la version 2.95.0 de\nsupabase-js, pour que la liste corresponde à ce que les bibliothèques clientes\nenvoient, et il dit de redéployer après une mise à jour. Les fonctions plus\nanciennes portent une copie écrite à la main de la même liste, dans un fichier\nappelé ",[21,373,374],{},"_shared\u002Fcors.ts",". C'est de cette copie que vient la troisième ligne du\ntableau : un en-tête que votre app envoie et que la liste ne nomme pas.",[10,377,378],{},"Si vous demandez à Lovable, Bolt, Cursor ou Claude Code de faire la correction,\nces deux points numérotés sont le prompt. Nommez les deux. Le second s'oublie\nfacilement, et une fonction qui n'a que le premier passe de la première ligne du\ntableau à la quatrième au prochain plantage.",[10,380,381,382,385,386,390],{},"Les exemples récents de Supabase enveloppent toute la fonction dans\n",[21,383,384],{},"withSupabase",", qui répond au coup pour vous.\n",[47,387,389],{"href":388},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","Déplacer un secret dans une Edge Function","\nmontre cette enveloppe avec une vérification de qui appelle, et c'est le sujet\nde la section suivante.",[10,392,393,394,396],{},"Une fois les en-têtes sur chaque réponse, une fonction qui plante n'affiche plus\nce message mais ",[21,395,63],{},". La réponse\natteint maintenant votre app, avec la raison à l'intérieur.",[155,398],{"alt":399,"caption":400,"src":401},"Une fonction renvoie trois réponses vers le contrôle du navigateur. Une réponse 200 avec étiquette passe et atteint l'app. Une réponse 500 sans étiquette est arrêtée au contrôle. Une réponse 400 avec étiquette passe, donc l'app reçoit l'erreur et peut la lire.","Le navigateur cherche l'étiquette et ne regarde jamais ce que dit la réponse. Une erreur qui porte les en-têtes atteint votre app ; une erreur sans eux est retenue et signalée comme une requête échouée.","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Ftag-every-reply-1600x720.png",[36,403,405],{"id":404},"len-tête-cors-décide-t-il-qui-peut-appeler-votre-fonction","L'en-tête CORS décide-t-il qui peut appeler votre fonction ?",[10,407,408],{},"Non. Il décide quelles pages web peuvent lire la réponse, et seuls les\nnavigateurs le regardent.",[10,410,411,412,316,414,417],{},"La liste de Supabase elle-même met ",[21,413,81],{},[21,415,416],{},"*",", ce qui\nautorise toutes les origines, aussi bien dans la copie qu'exporte supabase-js\nque dans l'ancienne écrite à la main. Sur une fonction qui vérifie le jeton de\nl'appelant, ça convient. Sur une fonction qui ne vérifie rien, cela permet à\nn'importe quelle page de n'importe quel site d'appeler votre fonction depuis les\nnavigateurs de ses propres visiteurs et de lire ce qui revient.",[10,419,420,421,425],{},"Restreindre l'en-tête à votre propre domaine ne ferme pas non plus la fonction.\nUn script, un terminal ou un autre serveur envoie la même requête sans\nnavigateur, ne lit jamais l'en-tête, et reçoit toute la réponse.\n",[47,422,424],{"href":423},"\u002Fblog\u002Fcors-wildcard-security-risk","Ce qu'un joker CORS ouvre ou pas"," le détaille.",[10,427,428],{},"La serrure d'une Edge Function, c'est une vérification de qui appelle, écrite\ndans la fonction. Elle compte surtout sur les fonctions qui finissent derrière\ncette erreur, parce que ce sont elles qui détiennent une clé OpenAI ou la clé\nsecrète de votre projet, et la clé secrète passe outre chaque règle de row level\nsecurity que vous avez écrite.",[10,430,431,432,435,436,439,440,136],{},"L'autre sortie d'une erreur CORS, c'est de ne plus utiliser la fonction : mettre\nla clé dans une variable ",[21,433,434],{},"VITE_"," et appeler OpenAI directement depuis la page.\nÇa marche tout de suite, et ça met la clé dans le fichier que chaque visiteur\ntélécharge. C'est la première des\n",[47,437,438],{"href":60},"deux corrections qui vous laissent en plus mauvaise posture",".\nCette erreur se voit de l'extérieur. Notre scan gratuit lit le JavaScript de\nvotre app en ligne comme le ferait un inconnu et nomme chaque clé qu'il trouve,\nen disant si elle a sa place là. Cela prend environ 20 secondes, sans compte :\n",[47,441,443],{"href":442},"\u002Fsecurity-scanner","scannez votre app",[36,445,447],{"id":446},"garder-la-clé-hors-de-la-page-après-le-prochain-changement","Garder la clé hors de la page après le prochain changement",[10,449,450,453],{},[31,451,452],{},"Une fonction corrigée aujourd'hui peut être réécrite la prochaine fois que\nvous demandez une fonctionnalité à votre builder",", et le moyen le plus rapide\nde contourner une erreur CORS est celui qui met votre clé dans la page.",[10,455,456],{},[31,457,458,462],{},[47,459,461],{"href":460},"\u002Fwebsite-monitoring","Reeve Monitor"," rescanne votre app en ligne toutes les heures :",[464,465,466,469,472,475],"ul",{},[337,467,468],{},"les neuf vérifications toutes les heures, sur trois apps au plus",[337,470,471],{},"un e-mail le jour où un nouveau scan note votre app moins bien que le précédent ; une clé secrète dans votre JavaScript plafonne à elle seule la note à D",[337,473,474],{},"si l'app répond, toutes les 60 secondes",[337,476,477],{},"un rapport mensuel de ce qui a été vu",[10,479,480],{},[31,481,482,483,487],{},"Une fonction qui détient la clé secrète de votre projet peut modifier\nn'importe quelle ligne de votre base pour quiconque l'appelle.\n",[47,484,486],{"href":485},"\u002Fsupabase-backups","Reeve Care"," garde une copie de votre base Supabase là où\nrien dans votre projet ne peut l'atteindre.",[464,489,490,493,496,499,502],{},[337,491,492],{},"une copie chiffrée selon un calendrier, conservée sur le stockage de Reeve dans l'UE, en dehors de votre compte Supabase",[337,494,495],{},"chaque copie vérifiée avant de compter, en comptant les lignes de chaque table",[337,497,498],{},"une restauration en un clic qui sauvegarde ce qui est là avant de le remplacer",[337,500,501],{},"vos fichiers téléversés aussi, dès que vous connectez un accès Storage",[337,503,504],{},"tout ce que fait Monitor",[36,506,508],{"id":507},"que-faire-maintenant","Que faire maintenant",[510,511,512],"key-takeaways",{},[464,513,514,517,523,526,529],{},[337,515,516],{},"Ouvrez la console du navigateur sur votre app en ligne, appuyez de nouveau sur le bouton et lisez la fin de la ligne CORS rouge.",[337,518,519,520,522],{},"Si la ligne mentionne la preflight request, ajoutez tout en haut de la fonction une branche ",[21,521,142],{}," qui renvoie les en-têtes CORS.",[337,524,525],{},"Sinon, votre fonction a tourné. Lisez ses onglets Invocations et Logs, et vérifiez ce qu'elle a déjà fait avant que quiconque appuie de nouveau sur le bouton.",[337,527,528],{},"Renvoyez les en-têtes CORS sur chaque réponse, erreurs comprises, et importez-les depuis supabase-js 2.95.0 ou plus récent pour que la liste reste à jour.",[337,530,531],{},"Gardez dans la fonction une vérification de qui appelle. L'en-tête CORS dit seulement aux navigateurs qui peut lire la réponse.",[10,533,534,535,537,538,541,542,546],{},"Quand l'erreur dans votre app devient ",[21,536,63],{},", les en-têtes marchent et la réponse passe ;\n",[47,539,540],{"href":60},"cet article"," la lit à\npartir de là. La ",[47,543,545],{"href":544},"\u002Fchecklist","checklist de sécurité en 10 minutes"," couvre ce\nqu'une app qui vient d'être lancée laisse souvent ouvert.",{"title":23,"searchDepth":548,"depth":548,"links":549},3,[550,552,553,554,555,556,557],{"id":38,"depth":551,"text":39},2,{"id":97,"depth":551,"text":98},{"id":162,"depth":551,"text":163},{"id":328,"depth":551,"text":329},{"id":404,"depth":551,"text":405},{"id":446,"depth":551,"text":447},{"id":507,"depth":551,"text":508},"Bases de la sécurité","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcover-1200x630.png","Une barrière abaissée en travers du passage, avec de l'autre côté une enveloppe retenue et un contour jaune vide là où son étiquette devrait pendre.","\"Failed to send a request to the Edge Function\" : le navigateur n'a reçu aucune réponse lisible. Sa console dit pourquoi, et si votre fonction a tourné.",false,"md",[565,567,570,573,576,579],{"q":39,"a":566},"Cela veut dire que supabase-js a demandé une réponse à votre Supabase Edge Function et n'en a reçu aucune qu'il avait le droit de lire. Soit la requête a échoué en chemin, par exemple parce que l'appareil était hors ligne, soit le navigateur a refusé de remettre la réponse à votre app, selon ses règles sur les requêtes vers d'autres adresses, appelées CORS. Le navigateur cache exprès la raison à votre code et l'écrit dans sa console.",{"q":568,"a":569},"Pourquoi mon Edge Function marche depuis un terminal mais pas depuis mon app ?","Parce que seuls les navigateurs appliquent CORS. Un terminal, un script ou un autre serveur envoie la requête et lit toute la réponse. Un navigateur vérifie d'abord que la réponse autorise votre app à la lire, et avant une requête comme celle que supabase-js envoie, il demande en plus la permission à la fonction par une requête OPTIONS séparée. Si l'une des deux étapes échoue, votre app reçoit cette erreur alors que le même appel marche partout ailleurs.",{"q":571,"a":572},"Ma Edge Function a-t-elle tourné si j'ai cette erreur ?","Lisez la ligne rouge dans la console du navigateur. Si elle mentionne la preflight request, le navigateur s'est arrêté à la demande de permission et votre requête n'est jamais partie. Sinon, la requête est passée, la fonction a fait son travail et seule la réponse a été retenue. Dans ce cas, lisez les onglets Invocations et Logs de la fonction avant d'appuyer à nouveau sur le bouton, car un second clic refait le travail.",{"q":574,"a":575},"Comment corriger une erreur CORS sur une Supabase Edge Function ?","Faites répondre la fonction à la requête OPTIONS en premier, avant tout code qui lit le contenu ou vérifie l'appelant, et renvoyez les en-têtes CORS sur chaque réponse, réponses d'erreur comprises. Le guide CORS de Supabase importe ces en-têtes depuis supabase-js, version 2.95.0 ou plus récente, pour que la liste corresponde à ce que le client envoie. Redéployez la fonction après la modification.",{"q":577,"a":578},"Qu'est-ce que \"Relay Error invoking the Edge Function\" ?","C'est un troisième message de supabase-js, levé quand le relais de Supabase n'a pas pu joindre votre fonction. Ce n'est ni un refus CORS ni une réponse de votre propre code, alors vérifiez d'abord si Supabase lui-même a un problème avant de modifier quoi que ce soit.",{"q":580,"a":581},"Est-ce sûr d'autoriser toutes les origines dans les en-têtes CORS de ma Edge Function ?","Seulement si la fonction vérifie qui l'appelle. L'en-tête CORS dit aux navigateurs quelles pages web peuvent lire la réponse ; il n'empêche personne d'appeler la fonction. Les en-têtes de Supabase autorisent toutes les origines, ce qui convient à une fonction qui vérifie le jeton de l'appelant et laisse n'importe quel site utiliser une fonction qui ne le fait pas. Restreindre l'en-tête à votre domaine ne ferme pas non plus la fonction aux scripts.","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",[584,56,585,586,587,588,589],"failed to send a request to the edge function","erreur cors supabase edge function","supabase edge function blocked by cors policy","response to preflight request doesn't pass access control check","relay error invoking the edge function","lovable edge function cors",{},true,"\"Failed to send a request to the Edge Function\" sur Supabase","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","2026-11-03",{"title":5,"description":561},"blog\u002Ffailed-to-send-a-request-to-the-edge-function",[598,599,600],"\"Failed to send a request to the Edge Function\" signifie que supabase-js n'a reçu aucune réponse qu'il avait le droit de lire. Soit la requête a échoué en chemin, soit le navigateur a retenu la réponse, et votre app n'en apprend pas plus, exprès.","La console du navigateur a la raison. Une ligne qui mentionne la preflight request veut dire que votre requête n'est jamais partie. Une ligne qui ne la mentionne pas veut dire que votre fonction a tourné et que seule sa réponse a été retenue.","La correction : une branche OPTIONS tout en haut de la fonction, et les en-têtes CORS sur chaque réponse, erreurs comprises. Ces en-têtes disent seulement aux navigateurs qui peut lire la réponse ; qui peut appeler, c'est une vérification dans votre code qui le décide.","m3jO15uKmXLlqwHHBBI07awVERYoaJQOF3vF46rpvzg",[603,609,615,621,627,633,639,640,646,652,658,665,671,677,682,688,694,700,706,712,718,724,730,736,742,748,754,760,766,772,778,784,790,796,802,808,813,819,825,831,836,842,848,854,860,866,871,877,883,889,895,901,907,913,919,925,931,937,943,949,955,961,967,973,979,985,991,997,1003,1009,1015,1021,1027,1033,1039,1045,1051,1056,1062,1068,1074,1080,1086,1092,1097,1103,1109,1115,1120,1126],{"path":604,"title":605,"description":606,"published":607,"category":558,"image":608,"draft":562},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\" expliqué","Supabase \"max client connections reached\" : le pooler n'a plus de place pour un client de plus. Le port de votre chaîne de connexion fixe la limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":610,"title":611,"description":612,"published":613,"category":558,"image":614,"draft":562},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Erreur Supabase : \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\" : la connexion Google est désactivée dans votre projet Supabase. Comment l'activer, et redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":616,"title":617,"description":618,"published":619,"category":558,"image":620,"draft":562},"\u002Fblog\u002Fviolates-foreign-key-constraint","Erreur Supabase \"violates foreign key constraint\" à l'insertion","Supabase \"insert or update on table violates foreign key constraint\" : votre ligne pointe vers une ligne absente. Laquelle, pourquoi, et la solution.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":622,"title":623,"description":624,"published":625,"category":558,"image":626,"draft":562},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Erreur Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\" : une colonne obligatoire est arrivée vide. D'où vient le null, et la solution.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":628,"title":629,"description":630,"published":631,"category":558,"image":632,"draft":562},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\" : où est passée la session","\"Auth session missing!\" : supabase-js n'a trouvé aucune session connectée et n'a même pas interrogé Supabase. Où est passée la session, et la solution.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":634,"title":635,"description":636,"published":637,"category":558,"image":638,"draft":562},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\" : personne de connecté","\"invalid claim: missing sub claim\" : Supabase Auth a reçu un vrai jeton qui ne nomme personne, la clé du projet à la place d'une session.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":593,"title":5,"description":561,"published":594,"category":558,"image":582,"draft":562},{"path":641,"title":642,"description":643,"published":644,"category":558,"image":645,"draft":562},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Pourquoi les liens e-mail de Supabase redirigent vers localhost:3000","Si Supabase redirige vers localhost:3000, la Site URL n'a jamais été changée ou votre adresse manque dans Redirect URLs. La solution, et le joker à éviter.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":647,"title":648,"description":649,"published":650,"category":558,"image":651,"draft":562},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" sur un lien neuf","Sur un lien envoyé il y a une minute, \"Email link is invalid or has expired\" de Supabase signifie souvent qu'un filtre de messagerie l'a utilisé avant.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":653,"title":654,"description":655,"published":656,"category":558,"image":657,"draft":562},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\" expliqué","Supabase \"canceling statement due to statement timeout\" : une requête a dépassé la limite de son rôle, 3 secondes pour un visiteur. Vérifiez la règle RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":659,"title":660,"description":661,"published":662,"category":663,"image":664,"draft":562},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" sur Supabase, et ce qui part avec","\"Database error deleting user\" sur Supabase : votre base a refusé la suppression. La cause est dans vos logs, et la solution décide de ce qui part avec.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":666,"title":667,"description":668,"published":669,"category":558,"image":670,"draft":562},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" sur Supabase","Un webhook Stripe dans une Edge Function Supabase affiche \"No signatures found matching the expected signature\" ? Deux causes. Gardez la vérification.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":672,"title":673,"description":674,"published":675,"category":558,"image":676,"draft":562},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" dans Supabase : les trois causes","Supabase répond \"Invalid login credentials\" à un mauvais mot de passe, un e-mail inconnu et un compte Google. Comment savoir lequel.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":60,"title":678,"description":679,"published":680,"category":558,"image":681,"draft":562},"\"Edge Function returned a non-2xx status code\" : la vraie erreur","\"Edge Function returned a non-2xx status code\" signifie que votre fonction Supabase a répondu par une erreur. Voici où lire la vraie.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":683,"title":684,"description":685,"published":686,"category":558,"image":687,"draft":562},"\u002Fblog\u002Fcertificate-not-trusted","Certificat non approuvé : trois causes autres que l’expiration","Certificat non approuvé alors que la date est bonne ? Il nomme une autre adresse, il s’est signé lui-même ou il manque un maillon à sa chaîne.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":689,"title":690,"description":691,"published":692,"category":558,"image":693,"draft":562},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\" : lisez les guillemets","Supabase \"invalid input syntax for type uuid\" : votre app a envoyé autre chose qu'un id. Lisez les guillemets, retenez la requête, gardez la colonne.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":695,"title":696,"description":697,"published":698,"category":558,"image":699,"draft":562},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\" expliqué","Supabase \"duplicate key value violates unique constraint\" : la valeur est déjà prise. Trouver la colonne, choisir un correctif, garder la valeur hors écran.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":701,"title":702,"description":703,"published":704,"category":558,"image":705,"draft":562},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" alors que la table existe","Supabase \"relation does not exist\" ou PGRST205 : aucune table ne porte ce nom dans ce schéma. Quatre vérifications, et ce qu'ouvre un schéma exposé.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":707,"title":708,"description":709,"published":710,"category":558,"image":711,"draft":562},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" cite les noms d'arguments envoyés par votre application. Comparez-les à la fonction.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":713,"title":714,"description":715,"published":716,"category":558,"image":717,"draft":562},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" vient le plus souvent du nom. Quatre vérifications, et la ligne qui recharge le cache.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":719,"title":720,"description":721,"published":722,"category":558,"image":723,"draft":562},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\" : deux limites, un code","Supabase \"Email Rate Limit Exceeded\" plafonne chaque e-mail de votre projet : 2 par heure avec l'expéditeur intégré. Ce qui compte, et comment le relever.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":725,"title":726,"description":727,"published":728,"category":558,"image":729,"draft":562},"\u002Fblog\u002Fsupabase-users-logged-out","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" : 3 causes","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" déconnecte vos utilisateurs. Trois causes, et comment le log Auth les distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":731,"title":732,"description":733,"published":734,"category":558,"image":735,"draft":562},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\" : trois causes","Supabase \"permission denied for schema public\" signale un grant manquant sur le schéma. Ce qui l'a retiré, et la ligne qui le remet.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":737,"title":738,"description":739,"published":740,"category":558,"image":741,"draft":562},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\" : les trois choses que cela veut dire","Supabase \"Bucket not found\", c'est une de trois choses : un lien public vers un bucket privé, un nom pas tout à fait exact, ou le mauvais projet.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":743,"title":744,"description":745,"published":746,"category":558,"image":747,"draft":562},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT : quelle clé a cessé de marcher ?","Une erreur Supabase invalid JWT, c'est PGRST301 : un jeton signé n'a pas passé la vérification. Sur un projet récent, c'est la session, pas la clé API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":749,"title":750,"description":751,"published":752,"category":558,"image":753,"draft":562},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" veut dire zéro ligne","Supabase renvoie PGRST116, \"JSON object requested, multiple (or no) rows returned\", quand la requête n'a rien trouvé. Une ligne cachée semble absente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":755,"title":756,"description":757,"published":758,"category":558,"image":759,"draft":562},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" sur Supabase : où regarder","\"Database error saving new user\" veut dire que quelque chose rattaché à votre inscription Supabase a échoué. La vraie erreur est dans vos logs.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":761,"title":762,"description":763,"published":764,"category":558,"image":765,"draft":562},"\u002Fblog\u002Fwhat-is-supabase","Qu'est-ce que Supabase ? La base que votre builder a choisie","Qu'est-ce que Supabase : la base de données, la connexion et le stockage de fichiers de votre app. Les règles sur qui lit vos lignes sont à vous.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":767,"title":768,"description":769,"published":770,"category":558,"image":771,"draft":562},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Une clé AWS exposée dans le frontend n'est pas une clé OpenAI","Une clé d'accès AWS exposée dans votre frontend lit et écrit votre stockage. La solution est en général une presigned URL, pas une nouvelle clé.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":773,"title":774,"description":775,"published":776,"category":558,"image":777,"draft":562},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" à l'upload","\"New row violates row-level security policy for table objects\" signifie que votre upload n'a pas de règle insert. Rendre le bucket public n'en ajoute aucune.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":779,"title":780,"description":781,"published":782,"category":558,"image":783,"draft":562},"\u002Fblog\u002Fbase44-security-scan","Scan de sécurité Base44 : ce que lui seul peut voir","Le scan de sécurité Base44 vérifie sept types de problèmes depuis l’intérieur. Voici la moitié que lui seul lit, et celle qu’il ne regarde jamais.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":785,"title":786,"description":787,"published":788,"category":558,"image":789,"draft":562},"\u002Fblog\u002Fapi-key-leaked-what-to-do","Votre clé API a fuité. L'ordre dans lequel agir","Une clé API a fuité et vous ne savez pas par quoi commencer. Toutes les clés de votre frontend n'en sont pas une, et l'ordre compte plus que la vitesse.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":791,"title":792,"description":793,"published":794,"category":558,"image":795,"draft":562},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" sans désactiver RLS","\"Infinite recursion detected in policy for relation\" signifie que votre policy a interrogé la table qu'elle protège. Voici comment rompre le cercle.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":797,"title":798,"description":799,"published":800,"category":558,"image":801,"draft":562},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" sur Supabase, et le mauvais correctif","\"No API key found in request\" veut dire que votre requête est arrivée sans clé. La plupart des réponses pointent vers les règles de votre base.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":803,"title":804,"description":805,"published":806,"category":558,"image":807,"draft":562},"\u002Fblog\u002Fis-base44-safe","Base44 est-il sûr ? Ce que 5 442 applications ont montré","Base44 est-il sûr ? Neuf vérifications sur 5 442 applications Base44 en ligne. Presque toutes ont eu un B, pour des raisons que personne n’a choisies.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":388,"title":809,"description":810,"published":811,"category":558,"image":812,"draft":562},"Cacher une clé API : la déplacer dans une Edge Function Supabase","Cacher une clé API veut dire la sortir du navigateur, et une Edge Function Supabase est le plus petit endroit où la mettre. Deux étapes comptent davantage.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":814,"title":815,"description":816,"published":817,"category":558,"image":818,"draft":562},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Votre fichier .env est-il exposé ? Les douze chemins à vérifier","Votre fichier .env est-il exposé sur votre propre serveur web ? Douze adresses vous le disent, et une réponse signifie que tout son contenu est public.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":820,"title":821,"description":822,"published":823,"category":558,"image":824,"draft":562},"\u002Fblog\u002Fis-v0-safe","Sécurité de v0 : les 1 790 applications scannées ont toutes eu A","La sécurité de v0 mesurée sur 1 790 applications en ligne : toutes ont eu A. Seules 17 citaient une base de données, et c’est surtout cela que ce A mesure.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":826,"title":827,"description":828,"published":829,"category":558,"image":830,"draft":562},"\u002Fblog\u002Fis-bolt-safe","Bolt est-il sûr ? Ce que 1 123 applications Bolt ont montré","Bolt est-il sûr ? Neuf vérifications sur 1 123 applications Bolt en ligne. L’hébergement était propre. Les trouvailles : des clés et des tables ouvertes.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":92,"title":832,"description":833,"published":834,"category":558,"image":835,"draft":562},"Supabase en panne, ou est-ce votre app ? Comment le savoir","Supabase est-il en panne, ou est-ce votre app ? Un projet en pause, une base pleine et un bug chez vous se ressemblent. Quatre vérifications les séparent.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":837,"title":838,"description":839,"published":840,"category":558,"image":841,"draft":562},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase chiffre-t-il mes données ? Oui. Ce que cela arrête","Supabase chiffre-t-il les données ? Oui : AES-256 au repos, TLS en transit, SOC 2 et ISO 27001. Ce que couvre chacun, et la fuite qu'aucun n'arrête.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":843,"title":844,"description":845,"published":846,"category":558,"image":847,"draft":562},"\u002Fblog\u002Fsupabase-free-plan-limits","Limites du plan gratuit Supabase : ce qui se passe à chacune","Les limites du plan gratuit Supabase : 500 Mo de base, 5 Go d'egress, aucune sauvegarde. Ce qui se passe à chaque seuil, et ce que change Pro à $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":849,"title":850,"description":851,"published":852,"category":663,"image":853,"draft":562},"\u002Fblog\u002Ftest-your-supabase-backup","Testez votre sauvegarde Supabase avant d'en avoir besoin","Comment tester votre sauvegarde Supabase : la restaurer dans un projet d'exercice, compter les lignes, se connecter, chercher la ligne qui manque.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":855,"title":856,"description":857,"published":858,"category":663,"image":859,"draft":562},"\u002Fblog\u002Fsupabase-backup-github-action","Sauvegarde Supabase gratuite avec une GitHub Action, et le piège","Une sauvegarde Supabase par GitHub Action est gratuite et convient à beaucoup d'apps. Le workflow, la bonne connection string et l'egress de chaque run.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":861,"title":862,"description":863,"published":864,"category":663,"image":865,"draft":562},"\u002Fblog\u002Fdownload-your-supabase-backup","Pourquoi vous ne pouvez pas télécharger votre sauvegarde Supabase","Impossible de télécharger votre sauvegarde Supabase sur un projet récent : la copie quotidienne est physique. Comment le vérifier et garder la vôtre.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":867,"title":868,"description":869,"published":864,"category":558,"image":870,"draft":562},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\" : le grant manquant","Dès le 30 octobre, une nouvelle table Supabase répond \"permission denied for table\" tant que l'accès n'est pas accordé. Le grant de l'e-mail est la moitié.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":872,"title":873,"description":874,"published":875,"category":558,"image":876,"draft":562},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint d'API ouvert est-il un problème de sécurité ?","Votre scan a signalé un endpoint d'API ouvert. Que cela compte dépend de ce qui est revenu, et la plupart de ceux trouvés étaient à la plateforme.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":878,"title":879,"description":880,"published":881,"category":558,"image":882,"draft":562},"\u002Fblog\u002Flovable-security-scan","Scan de sécurité Lovable : ce qu’il ne peut pas prouver","Scan de sécurité Lovable : ce que vérifient le Quick scan et le Deep scan, quand chacun part, et la seule chose qu’un scan de l’intérieur ne prouve pas.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":884,"title":885,"description":886,"published":887,"category":663,"image":888,"draft":562},"\u002Fblog\u002Fsupabase-backup-auth-users","Pourquoi votre dump Supabase ne contient aucun utilisateur","Lancez supabase db dump tout seul et vous obtenez la forme de votre base et aucune de ses lignes, sans le schéma auth où vivent vos utilisateurs.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":890,"title":891,"description":892,"published":893,"category":558,"image":894,"draft":562},"\u002Fblog\u002Fdomain-and-certificate-expiry","Domaine expiré, site hors ligne : ce qui se passe ensuite","Votre domaine a expiré et votre site est hors ligne. Le compte à rebours qui démarre, pourquoi le certificat est le moindre souci, et comment vérifier les deux.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":896,"title":897,"description":898,"published":899,"category":558,"image":900,"draft":562},"\u002Fblog\u002Fis-lovable-safe","Lovable est-il sûr ? Ce que 18 554 applications Lovable ont montré","Lovable est-il sûr ? 18 554 applications, neuf vérifications. La plateforme était la plus propre des cinq. Les trouvailles étaient dans les applications.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":902,"title":903,"description":904,"published":905,"category":558,"image":906,"draft":562},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist de sécurité du vibe coding, en neuf vérifications","Une checklist de sécurité du vibe coding en neuf points, chacun vérifiable de l’extérieur sur votre appli en ligne, et chacun avec un test d’une ligne.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":908,"title":909,"description":910,"published":911,"category":558,"image":912,"draft":562},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Une clé secrète Stripe dans votre frontend peut déplacer de l’argent","Une clé secrète Stripe exposée dans votre frontend peut rembourser, débiter et lire chaque fiche client que vous détenez. Votre clé pk_live_ y a sa place.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":914,"title":915,"description":916,"published":917,"category":558,"image":918,"draft":562},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variables d’environnement Vite exposées : le préfixe dit publier","Variables d’environnement Vite exposées : votre appli a fait ce que le préfixe demandait. VITE_ et NEXT_PUBLIC_ veulent dire publier, et l’IA ignorait le prix.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":920,"title":921,"description":922,"published":923,"category":558,"image":924,"draft":562},"\u002Fblog\u002Fbase44-source-maps","Sécurité Base44 : ce qu’un scan signale, et ce qui dépend de vous","Sécurité Base44 sur 5 438 applis : trois signalements sur presque chacune sont ceux de la plateforme, la source map est le badge Base44, votre part est courte.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":926,"title":927,"description":928,"published":929,"category":558,"image":930,"draft":562},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI est-il sûr ? L’éditeur, le code et l’appli publiée","Cursor AI est-il sûr ? Trois questions dans une recherche : ce que Cursor garde, ce que son code rate, et si l’appli que vous avez publiée est ouverte.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":932,"title":933,"description":934,"published":935,"category":558,"image":936,"draft":562},"\u002Fblog\u002Fis-replit-safe","Replit est-il sûr ? Ce que 3 042 applications Replit nous ont montré","Replit est-il sûr ? 3 042 applications Replit en ligne, neuf vérifications externes. Les trouvailles étaient dans l’application publiée, pas chez l’hébergeur.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":938,"title":939,"description":940,"published":941,"category":663,"image":942,"draft":562},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup : votre copie de base n'a aucun fichier","Un Supabase storage backup est une tâche à part. Les sauvegardes de la base gardent la liste de vos fichiers et aucun des fichiers, donc chaque upload casse.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":944,"title":945,"description":946,"published":947,"category":663,"image":948,"draft":562},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery Supabase : prix et limites","Le point-in-time recovery de Supabase rembobine votre base à la seconde près sur la dernière semaine. $100 par mois en plus de Pro, et rien que la base.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":950,"title":951,"description":952,"published":953,"category":663,"image":954,"draft":562},"\u002Fblog\u002Fsupabase-project-paused-recover","Projet Supabase en pause ? Vos données sont toujours là","Supabase a mis votre projet en pause après une semaine sans activité. Rien n'est supprimé, Restaurer est à côté du nom, et vous avez un an pour cliquer.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":956,"title":957,"description":958,"published":959,"category":558,"image":960,"draft":562},"\u002Fblog\u002Fsafest-ai-app-builder","Quel builder d'app IA est le plus sûr ? 30 998 apps testées","Quel builder d'app IA est le plus sûr ? Nous avons scanné 30 998 apps actives de Lovable, Base44, Replit, v0 et Bolt. Ce n'est pas le builder qui décide.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":962,"title":963,"description":964,"published":965,"category":558,"image":966,"draft":562},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Activer Row Level Security sur chaque table Supabase, et le prouver","Activer Row Level Security dans Supabase sans politique ferme la table entièrement. Une politique sans le réglage ne fait rien. Voici le SQL, et le test.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":968,"title":969,"description":970,"published":971,"category":558,"image":972,"draft":562},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\" : ce que l'alerte rate","Supabase signale \"RLS disabled in public\" comme une erreur. Elle ne dit rien de la politique de lecture qui laisse votre table tout aussi ouverte.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":974,"title":975,"description":976,"published":977,"category":558,"image":978,"draft":562},"\u002Fblog\u002Frotate-supabase-service-role-key","Faire tourner une clé service_role Supabase qui a fuité","Supabase dit de colmater la fuite d'abord. D'autres guides disent de faire tourner la clé tout de suite. Tout dépend d'où votre clé service_role a fuité.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":980,"title":981,"description":982,"published":983,"category":558,"image":984,"draft":562},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanners de sécurité vibe coding comparés, le nôtre compris","Le meilleur scanner de sécurité vibe coding tient à trois questions qu'aucune liste de fonctions ne traite. Huit outils comparés, avec les prix.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":986,"title":987,"description":988,"published":989,"category":558,"image":990,"draft":562},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker : les cinq vérifications à faire soi-même","Un Supabase security checker lit votre app publiée plutôt que les réglages de votre projet. Voici les cinq vérifications, et comment faire chacune vous-même.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":992,"title":993,"description":994,"published":995,"category":558,"image":996,"draft":562},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner de sécurité vibe coding : ce qu’un scan d’URL rate","Un scanner de sécurité vibe coding lit votre app en ligne depuis l’extérieur. Ce qu’il couvre, les quatre choses qu’il ne voit pas, et comment lire le résultat.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":998,"title":999,"description":1000,"published":1001,"category":558,"image":1002,"draft":562},"\u002Fblog\u002Fmissing-security-headers","En-têtes de sécurité manquants : quand cela compte","Les en-têtes de sécurité manquants sont notre constat le plus fréquent. Contre quoi ils protègent, et quand ils comptent le moins dans votre rapport.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1004,"title":1005,"description":1006,"published":1007,"category":558,"image":1008,"draft":562},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","Votre clé API OpenAI est exposée dans votre frontend. Changez-la.","Une clé API OpenAI exposée dans votre frontend ne peut être liée à aucun domaine. Changez-la aujourd'hui, passez par votre serveur et plafonnez la dépense.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1010,"title":1011,"description":1012,"published":1013,"category":558,"image":1014,"draft":562},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Clé API exposée dans le frontend : ce que 30 998 applis livrent","Une clé API exposée dans votre frontend est le plus souvent une clé Google Maps. Nous avons scanné 30 998 applis vibe-codées et compté ce qui fuit vraiment.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1016,"title":1017,"description":1018,"published":1019,"category":663,"image":1020,"draft":562},"\u002Fblog\u002Fsupabase-backup-tools-compared","Outils de sauvegarde Supabase comparés, le nôtre compris","Quatre familles d'outil de sauvegarde Supabase, ce que chacun copie vraiment, et quand une GitHub Action gratuite bat le fait de payer, nous compris.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1022,"title":1023,"description":1024,"published":1025,"category":558,"image":1026,"draft":562},"\u002Fblog\u002Freplit-secrets-explained","Utiliser les secrets sur Replit, et ce qui est publié quand même","Utiliser les secrets sur Replit : en ajouter un, le relire, corriger les deux causes du undefined. Et les clés que l'outil Secrets ne peut pas protéger.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1028,"title":1029,"description":1030,"published":1031,"category":663,"image":1032,"draft":562},"\u002Fblog\u002Fback-up-supabase-free-tier","Sauvegardes du plan gratuit Supabase : en faire une sans terminal","Le plan gratuit de Supabase ne fait aucune sauvegarde : la copie vient de vous. Comment la faire depuis le tableau de bord, et ce que le CSV oublie.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1034,"title":1035,"description":1036,"published":1037,"category":558,"image":1038,"draft":562},"\u002Fblog\u002Fis-supabase-secure","Supabase est-il sûr ? Oui. Votre projet est une autre question","Supabase est-il sûr ? La plateforme est auditée, chiffrée et testée en intrusion. Sa documentation dit où cela s'arrête et où vos réglages commencent.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1040,"title":1041,"description":1042,"published":1043,"category":558,"image":1044,"draft":562},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Où trouver vos clés API Supabase : anon, service_role et URL","L'URL du projet, la clé anon et la clé service_role tiennent sur une page du tableau de bord. Voici où elle est, et laquelle des quatre va dans votre app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1046,"title":1047,"description":1048,"published":1049,"category":558,"image":1050,"draft":562},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy sur Supabase : et après ?","\"New row violates row-level security policy\" signifie que Supabase a refusé une écriture. Le correctif rapide rouvre la table à tout le monde.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":423,"title":1052,"description":1053,"published":1054,"category":558,"image":1055,"draft":562},"Un joker CORS est-il un risque de sécurité ? Rarement.","Un joker CORS est-il un risque de sécurité ? C'est souvent le réglage par défaut de votre builder, et il ne livre rien que votre serveur ne donnait déjà.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1057,"title":1058,"description":1059,"published":1060,"category":663,"image":1061,"draft":562},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Le branching Supabase n'est pas une sauvegarde de vos données.","Pourquoi le branching Supabase n'est pas une sauvegarde : une branche démarre sans vos données, et un merge ne déplace que le schéma. À quoi il sert vraiment.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1063,"title":1064,"description":1065,"published":1066,"category":663,"image":1067,"draft":562},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Restaurer une sauvegarde Supabase, et ce qui casse après","Restaurer une sauvegarde Supabase depuis le tableau de bord ou un fichier de dump, ce que la restauration remplace et pourquoi votre app peut rester cassée.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1069,"title":1070,"description":1071,"published":1072,"category":558,"image":1073,"draft":562},"\u002Fblog\u002Fsupabase-storage-bucket-public","Votre bucket Supabase Storage est public. Est-ce un problème ?","Un bucket Supabase Storage public signifie que celui qui a l'URL d'un fichier peut l'ouvrir. Il ne signifie pas que quelqu'un peut lister ce qu'il contient.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1075,"title":1076,"description":1077,"published":1078,"category":558,"image":1079,"draft":562},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Une clé API Google dans votre frontend, est-ce un problème ?","Une clé API Google exposée dans votre frontend est la clé que notre scanner trouve le plus souvent, et en général tout va bien. Un réglage gratuit tranche.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1081,"title":1082,"description":1083,"published":1084,"category":663,"image":1085,"draft":562},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agent IA a supprimé mes données Supabase. Que puis-je récupérer ?","Un agent IA a supprimé des données de votre base. Ce que vous pouvez récupérer était déjà décidé avant, et les prochaines minutes décident du reste.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1087,"title":1088,"description":1089,"published":1090,"category":558,"image":1091,"draft":562},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Qui peut lire votre base Supabase ? Nous avons testé 3 680 apps","N'importe qui peut-il lire votre base de données Supabase sans se connecter ? Nous avons scanné 30 998 apps en ligne créées avec des builders IA.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1093,"title":1094,"description":1095,"published":1090,"category":558,"image":1096,"draft":562},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source maps exposées : votre app publie son code original","Une source map exposée laisse n'importe qui lire le code original de votre app, commentaires compris. Le test de 30 secondes, et ce qui compte vraiment.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1098,"title":1099,"description":1100,"published":1101,"category":558,"image":1102,"draft":562},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key : la même chose que l'anon key ?","Supabase a remplacé anon et service_role par des clés publiables et secrètes. Laquelle a sa place dans votre app, et laquelle jamais ?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1104,"title":1105,"description":1106,"published":1107,"category":663,"image":1108,"draft":562},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase sauvegarde-t-il ma base de données ? Cela dépend du plan.","Supabase sauvegarde-t-il votre base de données ? Chaque jour sur les plans payants, jamais sur le gratuit. Comment savoir ce que vous avez vraiment.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1110,"title":1111,"description":1112,"published":1113,"category":558,"image":1114,"draft":562},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security est activé. La table reste publique.","Activer Supabase Row Level Security ne protège pas une table. Ce sont vos politiques, et celle qui a réparé votre app laisse peut-être entrer tout le monde.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1116,"title":1117,"description":1118,"published":1113,"category":663,"image":1119,"draft":562},"\u002Fblog\u002Fversion-history-is-not-a-backup","L'historique des versions n'est pas une sauvegarde de vos données.","Lovable et Bolt tiennent un historique des versions de votre code. Votre base de données est un service à part, et revenir en arrière ne la ramène pas.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1121,"title":1122,"description":1123,"published":1124,"category":663,"image":1125,"draft":562},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Trois façons de sauvegarder une base Supabase, et ce qui manque","Le tableau de bord, pg_dump et un service géré. Ce que chacun enregistre, ce qu'il laisse de côté sans le dire, et lequel survit à la perte du compte.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1127,"title":1128,"description":1129,"published":1124,"category":558,"image":1130,"draft":562},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quelles clés API sont sûres côté navigateur, et lesquelles non","Votre clé anon Supabase est faite pour être publique. Votre clé service_role non, et elle ignore toutes les règles que vous posez. Comment les distinguer.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213641834]