[{"data":1,"prerenderedAt":1278},["ShallowReactive",2],{"blog-fr-invalid-claim-missing-sub-claim":3,"blog-index-fr":753},{"id":4,"title":5,"body":6,"category":711,"cover":712,"coverAlt":713,"description":714,"draft":715,"extension":716,"faq":717,"image":733,"keywords":734,"meta":741,"navigation":742,"ogTitle":743,"path":744,"published":745,"seo":746,"stem":747,"tldr":748,"updated":745,"__hash__":752},"blog_fr\u002Fblog\u002Finvalid-claim-missing-sub-claim.md","Supabase \"invalid claim: missing sub claim\" : personne de connecté",{"type":7,"value":8,"toc":698},"minimark",[9,13,24,36,41,44,59,77,83,86,97,103,107,110,119,129,135,142,148,174,182,186,189,203,211,219,226,236,260,265,269,272,283,331,343,346,350,353,362,368,384,390,404,408,411,430,437,447,451,454,569,587,591,597,606,620,630,647,651,683],[10,11,12],"p",{},"Votre app a une Supabase Edge Function qui fait quelque chose pour la personne\nqui l'utilise, comme enregistrer ses réglages ou appeler OpenAI pour son compte.\nPendant vos tests, elle marchait. Puis le journal de la fonction se remplit de\ncette ligne, et l'app affiche une erreur, ou rien du tout :",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","AuthApiError: invalid claim: missing sub claim\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26,27,30,31,35],{},"Cherchez \"invalid claim: missing sub claim\" et l'on vous conseillera de\nrégénérer vos clés, de couper Verify JWT ou de mettre la clé ",[21,28,29],{},"service_role",".\nChacun de ces conseils traite le jeton comme cassé. ",[32,33,34],"strong",{},"Le jeton allait bien.","\nSupabase a vérifié sa signature et l'a accepté. Ce qui lui manquait, c'était un\nnom, n'importe lequel.",[37,38,40],"h2",{"id":39},"que-signifie-invalid-claim-missing-sub-claim","Que signifie \"invalid claim: missing sub claim\" ?",[10,42,43],{},"On a demandé à Supabase Auth quel utilisateur appelle ; il a trouvé le jeton\nauthentique, et aucun utilisateur inscrit dedans.",[10,45,46,47,50,51,58],{},"Les jetons que lit Supabase Auth sont des JWT : trois blocs de texte séparés par\ndes points, dont celui du milieu est une donnée lisible. Chaque élément de cette\ndonnée s'appelle un claim. ",[21,48,49],{},"sub",", pour subject, est le claim qui contient\nl'identifiant d'un utilisateur, et la\n",[52,53,57],"a",{"href":54,"rel":55},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fjwt-fields",[56],"nofollow","référence JWT de Supabase"," le\ndécrit comme l'ID de l'utilisateur, un UUID.",[10,60,61,62,65,66,69,70,72,73,76],{},"Le message est écrit dans le code source de Supabase Auth lui-même, dans une\nfonction appelée ",[21,63,64],{},"maybeLoadUserOrSession"," du fichier ",[21,67,68],{},"internal\u002Fapi\u002Fauth.go",".\nQuand cette fonction s'exécute, la signature du jeton a déjà été vérifiée, et\nelle a passé. Elle cherche alors ",[21,71,49],{},", et quand le claim est vide, elle\ns'arrête avec un HTTP 403, le code d'erreur ",[21,74,75],{},"bad_jwt"," et cette phrase. La\nréponse que reçoit votre code ressemble à ceci :",[14,78,81],{"className":79,"code":80,"language":19},[17],"{\"code\":403,\"error_code\":\"bad_jwt\",\"msg\":\"invalid claim: missing sub claim\"}\n",[21,82,80],{"__ignoreMap":23},[10,84,85],{},"Imaginez un accueil à qui l'on pose une seule question : quel visiteur est-ce ?\nVous tendez un badge. L'accueil vérifie d'abord le tampon, et le tampon est\nauthentique. Puis il lit la ligne du nom, et la ligne du nom est vide. L'accueil\nn'a rien pour répondre, alors il refuse, et le refus désigne la ligne vide.",[10,87,88,89,92,93,96],{},"Tout appel qui a besoin d'une personne connectée peut recevoir cette réponse.\n",[21,90,91],{},"getUser()"," et ",[21,94,95],{},"updateUser()"," sont les deux où vous la verrez le plus\nprobablement, et l'ajout d'un second facteur ou l'association d'une autre\nméthode de connexion passent par la même vérification.",[98,99],"diagram",{"alt":100,"caption":101,"src":102},"Deux badges vont au même accueil. Les deux portent un sceau authentique et passent la vérification du sceau. Le badge du haut, marqué authenticated, a un visage et un nom, et l'accueil répond par une personne et 200. Celui du bas, marqué anon, a une photo et une ligne de nom vides en pointillés, et l'accueil répond 403.","Le sceau est vérifié d'abord, et les deux badges passent. La question qui échoue est la seconde : quel nom y figure ?","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fthe-name-line-1600x720.png",[37,104,106],{"id":105},"une-clé-nomme-votre-app-un-jeton-de-session-nomme-une-personne","Une clé nomme votre app. Un jeton de session nomme une personne.",[10,108,109],{},"La clé d'API de votre projet est le badge à la ligne de nom vide, et elle a été\nfaite ainsi exprès.",[10,111,112,113,118],{},"La ",[52,114,117],{"href":115,"rel":116},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fgetting-started\u002Fapi-keys",[56],"documentation des clés d'API","\nle dit en une ligne : selon Supabase, une clé d'API ne distingue pas les\nutilisateurs, elle distingue les applications. La clé dit à Supabase quelle app\nappelle. Qui utilise cette app est une autre question, à laquelle répond un jeton\nque Supabase Auth délivre à chaque personne quand elle se connecte.",[10,120,121,122,125,126,128],{},"La référence JWT de Supabase imprime les deux. La clé ",[21,123,124],{},"anon"," d'un projet plus\nancien se décode ainsi, et il n'y a de ",[21,127,49],{}," nulle part :",[14,130,133],{"className":131,"code":132,"language":19},[17],"{\n  \"iss\": \"supabase\",\n  \"ref\": \"abcdefghijklmnopqrst\",\n  \"role\": \"anon\",\n  \"iat\": 1640991600,\n  \"exp\": 1640995200\n}\n",[21,134,132],{"__ignoreMap":23},[10,136,137,138,141],{},"Le jeton d'accès d'une personne connectée porte son identifiant, le rôle\n",[21,139,140],{},"authenticated"," et la session à laquelle il appartient (réduit ici aux lignes\nqui comptent) :",[14,143,146],{"className":144,"code":145,"language":19},[17],"{\n  \"sub\": \"123e4567-e89b-12d3-a456-426614174000\",\n  \"role\": \"authenticated\",\n  \"session_id\": \"123e4567-e89b-12d3-a456-426614174000\",\n  \"email\": \"user@example.com\"\n}\n",[21,147,145],{"__ignoreMap":23},[10,149,150,151,153,154,157,158,160,161,92,164,167,168,173],{},"La clé ",[21,152,29],{}," reprend la première forme, avec ",[21,155,156],{},"\"role\": \"service_role\"",",\net toujours sans ",[21,159,49],{},". Les clés plus récentes ",[21,162,163],{},"sb_publishable_",[21,165,166],{},"sb_secret_","\nne sont pas du tout des JWT, mais la\n",[52,169,172],{"href":170,"rel":171},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Ftroubleshooting\u002Fauth-error-401-invalid-claim-missing-sub--AFwMR",[56],"page de dépannage de Supabase pour cette erreur","\ndit qu'Auth les reconnaît et qu'elles ne portent pas de claim sub non plus.\nToutes les clés de votre projet, anciennes ou nouvelles, publiques ou secrètes,\nproduisent donc ce message quand on les remet à Auth comme si c'était une\npersonne. La même page nomme l'erreur sans détour : utiliser par mégarde une clé\nd'API Supabase au lieu du jeton d'accès d'Auth.",[10,175,176,177,181],{},"Si les clés et leurs préfixes sont nouveaux pour vous,\n",[52,178,180],{"href":179},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","quelles clés d'API peuvent aller dans votre frontend","\nexplique comment distinguer la publique de la secrète.",[37,183,185],{"id":184},"où-la-clé-est-envoyée-à-la-place-dune-session","Où la clé est envoyée à la place d'une session",[10,187,188],{},"Trois chemins mènent ici, et le premier est celui que prend une Edge Function.",[10,190,191,194,195,198,199,202],{},[32,192,193],{},"1. Une Edge Function appelée depuis une page où personne n'est connecté.","\nQuand supabase-js a une session, il met le jeton de la personne dans l'en-tête\n",[21,196,197],{},"Authorization",". Quand il n'en a pas, il n'a rien d'autre à y mettre, donc avec\nune clé ancienne il y envoie la clé de votre projet à la place. Son fichier\n",[21,200,201],{},"fetch.ts"," se lit exactement ainsi : le jeton de session s'il y en a un, sinon la\nclé.",[10,204,205,206,210],{},"La vérification Verify JWT de la plateforme laisse entrer cette requête. Une clé\nancienne est un JWT signé par votre projet, et Supabase documente que la\nvérification accepte aussi les clés plus récentes : c'est la faille que\n",[52,207,209],{"href":208},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","déplacer un secret dans une Edge Function","\nexplique en entier. Votre fonction transmet ensuite l'en-tête à Auth, et c'est\nce que font ces lignes :",[14,212,217],{"className":213,"code":215,"language":216,"meta":23},[214],"language-ts","const supabase = createClient(\n  Deno.env.get('SUPABASE_URL')!,\n  Deno.env.get('SUPABASE_ANON_KEY')!,\n  { global: { headers: { Authorization: req.headers.get('Authorization')! } } },\n)\nconst { data: { user } } = await supabase.auth.getUser()\n","ts",[21,218,215],{"__ignoreMap":23},[10,220,221,222,225],{},"Auth lit la clé, trouve la ligne de nom vide et répond 403. Si la fonction\nrenvoie cet échec, votre app affiche ",[21,223,224],{},"Edge Function returned a non-2xx status code",", et ce message attend dans le journal de la fonction.",[10,227,228,231,232,235],{},[32,229,230],{},"2. Un appel fait avant la fin de la connexion."," La page de dépannage de\nSupabase nomme aussi ce cas : un utilisateur qui avait commencé à s'inscrire ou\nà se connecter sans avoir terminé quand ",[21,233,234],{},"getUser"," a été appelé. Une forme que\ncela prend : une inscription qui attend encore son e-mail de confirmation. Il\nn'y a pas encore de session, donc ce qui est arrivé chez Auth n'était pas le\njeton d'une personne.",[10,237,238,241,242,245,246,249,250,253,254,256,257,259],{},[32,239,240],{},"3. Votre propre serveur remet à Auth la mauvaise valeur."," Une route qui\nappelle ",[21,243,244],{},"getUser(token)"," avec la clé dans ",[21,247,248],{},"token",", ou une automatisation dans\nn8n, Make ou Postman qui appelle ",[21,251,252],{},"\u002Fauth\u002Fv1\u002Fuser"," avec la clé dans son en-tête\n",[21,255,197],{},". La solution que donne la page de Supabase pour ce cas :\ns'assurer que le jeton passé à ",[21,258,91],{}," est bien le jeton d'accès de la\npersonne.",[98,261],{"alt":262,"caption":263,"src":264},"Une page où personne n'est connecté envoie deux badges vides identiques, l'un marqué apikey et l'autre Authorization. Les deux passent la vérification de la plateforme avec une coche et atteignent l'Edge Function. La fonction transmet le badge Authorization à l'accueil, qui répond 403 avec une croix.","Quand personne n'est connecté, la page envoie la même clé dans les deux en-têtes. Chaque vérification avant Auth la laisse passer, et seule la question d'Auth trouve la ligne du nom vide.","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fthe-same-key-twice-1600x760.png",[37,266,268],{"id":267},"comment-voir-ce-que-votre-fonction-a-reçu","Comment voir ce que votre fonction a reçu",[10,270,271],{},"Comparez deux en-têtes de requête dans votre navigateur.",[10,273,274,275,278,279,282],{},"Ouvrez votre app en ligne, appuyez sur F12, choisissez l'onglet ",[32,276,277],{},"Network"," et\nrefaites ce qui a échoué. Cliquez sur la requête dont l'adresse contient\n",[21,280,281],{},"\u002Ffunctions\u002Fv1\u002F"," et le nom de votre fonction, et lisez ses en-têtes de requête :",[284,285,286,303,314],"ul",{},[287,288,289,302],"li",{},[32,290,291,293,294,297,298,301],{},[21,292,197],{}," contient ",[21,295,296],{},"Bearer"," suivi de la même chaîne que ",[21,299,300],{},"apikey","."," La\npage n'avait pas de session à envoyer, alors elle a envoyé la clé deux fois.\nVous êtes sur le chemin 1 ou 2.",[287,304,305,313],{},[32,306,307,309,310,301],{},[21,308,197],{}," contient une autre longue chaîne commençant par ",[21,311,312],{},"eyJ"," Le\njeton d'une personne est bien parti. La fonction ou votre serveur l'a perdu en\nroute, vous êtes donc sur le chemin 3.",[287,315,316,321,322,326,327,330],{},[32,317,318,319,301],{},"Il n'y a pas d'en-tête ",[21,320,197],{}," Alors ce n'est pas ce message que\nvous verrez. Avec Verify JWT activé, la plateforme refuse la requête par un\n401 avant que votre code tourne, ce que\n",[52,323,325],{"href":324},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","l'article sur l'erreur non-2xx","\nlit. Désactivé, Auth répond ",[21,328,329],{},"This endpoint requires a valid Bearer token",", la\npremière ligne du tableau plus bas.",[10,332,333,334,337,338,342],{},"Si le message apparaît plutôt dans la console de votre navigateur et dit\n",[21,335,336],{},"Auth session missing!",", aucune requête n'a atteint Auth : supabase-js n'a\ntrouvé aucune session et s'est arrêtée avant d'en envoyer une, ce que\n",[52,339,341],{"href":340},"\u002Fblog\u002Fauth-session-missing","son propre article"," traite.",[10,344,345],{},"Lisez les valeurs là où elles sont. Ne collez ni l'une ni l'autre dans un site\nqui propose de la décoder : votre clé est publique de toute façon, mais le jeton\nd'accès d'une personne permet à quiconque le détient d'agir en son nom jusqu'à\nson expiration.",[37,347,349],{"id":348},"la-solution-ne-demander-que-quand-quelquun-est-connecté","La solution : ne demander que quand quelqu'un est connecté",[10,351,352],{},"Décidez ce que la fonction doit faire pour un visiteur qui ne s'est pas\nconnecté, et écrivez cette décision dans la fonction.",[10,354,355,358,359,361],{},[32,356,357],{},"Si seules les personnes connectées doivent l'utiliser,"," deux changements. La\npage n'appelle la fonction qu'une fois quelqu'un connecté. Et la fonction répond\nun 401 net quand ",[21,360,91],{}," ne trouve aucun utilisateur, pour qu'un appel\négaré depuis une page sans connexion reçoive un refus clair plutôt qu'un plantage :",[14,363,366],{"className":364,"code":365,"language":216,"meta":23},[214],"const { data: { user } } = await supabase.auth.getUser()\nif (!user) {\n  return new Response(JSON.stringify({ error: 'Sign in first' }), {\n    status: 401,\n    headers: { ...corsHeaders, 'Content-Type': 'application\u002Fjson' },\n  })\n}\n",[21,367,365],{"__ignoreMap":23},[10,369,370,371,375,376,379,380,383],{},"Gardez aussi les en-têtes CORS sur cette réponse, sinon le navigateur la cache à\nvotre app et vous tombez sur\n",[52,372,374],{"href":373},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\"","\nà la place. Supabase fournit aussi un wrapper, ",[21,377,378],{},"withSupabase({ auth: 'user' })",",\nqui fait la même vérification avant que votre handler tourne ;\n",[52,381,382],{"href":208},"l'article sur l'Edge Function"," montre\nla mise en place.",[10,385,386,389],{},[32,387,388],{},"Si les visiteurs non connectés doivent aussi l'utiliser,"," ne demandez à Auth\nque sur le chemin qui a besoin d'une personne. Traitez un refus à cet endroit\ncomme \"c'est un visiteur\" et continuez avec ce qu'un visiteur a le droit de\nfaire, plutôt que de laisser l'erreur arrêter la requête.",[10,391,392,395,396,399,400,403],{},[32,393,394],{},"Sur votre propre serveur,"," envoyez le jeton d'accès de la personne depuis le\nnavigateur, comme le décrit la page de Supabase : mettez-le dans un en-tête\n",[21,397,398],{},"Authorization: Bearer"," de votre requête, lisez-le sur le serveur et appelez\n",[21,401,402],{},"supabase.auth.getUser(token)"," avec cette valeur. La clé de votre projet n'entre\njamais dans cet appel.",[37,405,407],{"id":406},"deux-solutions-qui-aggravent-les-choses","Deux solutions qui aggravent les choses",[10,409,410],{},"Les deux sont suggérées pour cette erreur, et les deux vous laissent dans une\nsituation pire que l'erreur elle-même.",[10,412,413,416,417,419,420,422,423,425,426,301],{},[32,414,415],{},"Mettre la clé secrète à la place."," Cela ne peut pas aider, car ",[21,418,29],{},"\net ",[21,421,166],{}," ne portent pas de ",[21,424,49],{}," non plus, et Auth répond donc de la même\nfaçon. Le mal tient à l'endroit où la clé finit. Demandez à un builder\nd'\"utiliser la clé de service\" pour passer une erreur, et il pourrait bien la\nmettre dans la page que vos visiteurs téléchargent, où elle lit et écrit chaque\nligne de votre base quelles que soient vos règles. Si c'est déjà arrivé,\n",[52,427,429],{"href":428},"\u002Fblog\u002Frotate-supabase-service-role-key","faites-la tourner d'abord",[10,431,432,433,301],{},"Ce faux pas se voit de l'extérieur. Notre scan gratuit lit le JavaScript de\nvotre app en ligne comme le ferait un inconnu et nomme chaque clé qu'il trouve,\nen précisant si elle a sa place là. Il prend environ 20 secondes et ne demande\npas de compte : ",[52,434,436],{"href":435},"\u002Fsecurity-scanner","scannez votre app",[10,438,439,442,443,446],{},[32,440,441],{},"Supprimer la vérification et prendre l'identifiant de l'utilisateur dans la\nrequête."," Une fonction qui lit ",[21,444,445],{},"userId"," dans le corps de la requête croit\nquiconque l'envoie. Si cette fonction écrit en plus avec la clé secrète,\nn'importe qui ouvrant votre page et lisant comment la fonction est appelée peut\nagir comme n'importe lequel de vos utilisateurs, et rien dans vos journaux ne\ndit que ce n'étaient pas eux. Avec la vérification en place, un inconnu qui\ntente le même appel reçoit cette erreur, et rien d'autre.",[37,448,450],{"id":449},"les-autres-messages-de-la-même-vérification","Les autres messages de la même vérification",[10,452,453],{},"Les vérifications d'Auth s'exécutent dans un ordre fixe et chacune a sa propre\nphrase, donc le message vous dit jusqu'où le jeton est allé.",[455,456,457,473],"table",{},[458,459,460],"thead",{},[461,462,463,467,470],"tr",{},[464,465,466],"th",{},"Message",[464,468,469],{},"Statut et code",[464,471,472],{},"Ce qui s'est passé",[474,475,476,495,510,524,539,554],"tbody",{},[461,477,478,483,489],{},[479,480,481],"td",{},[21,482,329],{},[479,484,485,486],{},"401 ",[21,487,488],{},"no_authorization",[479,490,491,492,494],{},"Aucun en-tête ",[21,493,398],{}," n'est arrivé.",[461,496,497,502,507],{},[479,498,499],{},[21,500,501],{},"invalid JWT: unable to parse or verify signature, …",[479,503,504,505],{},"403 ",[21,506,75],{},[479,508,509],{},"Le tampon est faux : un jeton abîmé, un jeton d'un autre projet ou une ancienne clé.",[461,511,512,517,521],{},[479,513,514],{},[21,515,516],{},"invalid claim: missing sub claim",[479,518,504,519],{},[21,520,75],{},[479,522,523],{},"Le tampon est bon et la ligne du nom est vide : une clé d'API.",[461,525,526,531,536],{},[479,527,528],{},[21,529,530],{},"invalid claim: sub claim must be a UUID",[479,532,533,534],{},"400 ",[21,535,75],{},[479,537,538],{},"Un nom est là, mais pas sous la forme d'un identifiant d'utilisateur Supabase.",[461,540,541,546,551],{},[479,542,543],{},[21,544,545],{},"User from sub claim in JWT does not exist",[479,547,504,548],{},[21,549,550],{},"user_not_found",[479,552,553],{},"Le jeton nomme un utilisateur supprimé depuis.",[461,555,556,561,566],{},[479,557,558],{},[21,559,560],{},"Session from session_id claim in JWT does not exist",[479,562,504,563],{},[21,564,565],{},"session_not_found",[479,567,568],{},"Le jeton a survécu à sa session, par exemple après une déconnexion sur un autre appareil.",[10,570,571,572,574,575,578,579,582,583,301],{},"Chaque ligne vient du même fichier, ",[21,573,68],{},". La version que votre\nbase de données renvoie elle-même pour la ligne du mauvais tampon, ",[21,576,577],{},"PGRST301",", a\n",[52,580,341],{"href":581},"\u002Fblog\u002Fsupabase-invalid-jwt",". La ligne de la session se lit\navec ",[52,584,586],{"href":585},"\u002Fblog\u002Fsupabase-users-logged-out","pourquoi les utilisateurs Supabase sont déconnectés",[37,588,590],{"id":589},"garder-la-vérification-après-le-prochain-changement","Garder la vérification après le prochain changement",[10,592,593,596],{},[32,594,595],{},"Une vérification de qui appelle peut disparaître la prochaine fois que vous\ndemandez à votre builder de faire disparaître une erreur",", et les deux moyens\nles plus rapides de faire taire celle-ci sont les deux ci-dessus.",[10,598,599],{},[32,600,601,605],{},[52,602,604],{"href":603},"\u002Fwebsite-monitoring","Reeve Monitor"," rescanne votre app en ligne toutes les heures :",[284,607,608,611,614,617],{},[287,609,610],{},"les neuf vérifications toutes les heures, sur trois apps au plus",[287,612,613],{},"un e-mail le jour où un nouveau scan note votre app moins bien que le précédent ; une clé secrète dans votre JavaScript plafonne à elle seule la note à D",[287,615,616],{},"si l'app répond, toutes les 60 secondes",[287,618,619],{},"un rapport mensuel de ce qui a été vu",[10,621,622],{},[32,623,624,625,629],{},"Une fonction qui croit l'identifiant d'utilisateur qu'on lui envoie peut\nmodifier les lignes de n'importe lequel de vos utilisateurs pour quiconque\nl'appelle. ",[52,626,628],{"href":627},"\u002Fsupabase-backups","Reeve Care"," garde une copie de votre base\nSupabase d'avant.",[284,631,632,635,638,641,644],{},[287,633,634],{},"une copie chiffrée selon un calendrier, conservée sur le stockage de Reeve dans l'UE, en dehors de votre compte Supabase",[287,636,637],{},"chaque copie vérifiée avant de compter, en comptant les lignes de chaque table",[287,639,640],{},"une restauration en un clic qui sauvegarde ce qui est là avant de le remplacer",[287,642,643],{},"vos fichiers téléversés aussi, dès que vous connectez un accès Storage",[287,645,646],{},"tout ce que fait Monitor",[37,648,650],{"id":649},"que-faire-maintenant","Que faire maintenant",[652,653,654],"key-takeaways",{},[284,655,656,665,671,677,680],{},[287,657,658,659,661,662,664],{},"Ouvrez la requête qui échoue dans l'onglet Network. Si ",[21,660,197],{}," porte la même valeur que ",[21,663,300],{},", personne n'était connecté quand elle est partie.",[287,666,667,668,670],{},"N'appelez les fonctions qui ont besoin d'une personne qu'après la connexion, et faites répondre la fonction 401 quand ",[21,669,91],{}," ne trouve aucun utilisateur.",[287,672,673,674,676],{},"Sur votre propre serveur, passez à ",[21,675,91],{}," le jeton d'accès de la personne. La clé de votre projet ne contient aucun utilisateur.",[287,678,679],{},"Laissez la clé secrète où elle est. Elle ne nomme personne non plus, et dans la page elle lit et écrit chaque ligne.",[287,681,682],{},"Gardez la vérification de qui appelle. Une fonction qui prend l'identifiant de l'utilisateur dans la requête croit n'importe qui.",[10,684,685,686,688,689,692,693,697],{},"Si votre app affiche ",[21,687,224],{}," pendant que\nce message est dans le journal, la fonction transmet le refus, et\n",[52,690,691],{"href":324},"cet article"," lit la réponse\nà partir de là. La ",[52,694,696],{"href":695},"\u002Fchecklist","checklist de sécurité en 10 minutes"," couvre ce\nqu'une app qui vient d'être lancée laisse souvent ouvert.",{"title":23,"searchDepth":699,"depth":699,"links":700},3,[701,703,704,705,706,707,708,709,710],{"id":39,"depth":702,"text":40},2,{"id":105,"depth":702,"text":106},{"id":184,"depth":702,"text":185},{"id":267,"depth":702,"text":268},{"id":348,"depth":702,"text":349},{"id":406,"depth":702,"text":407},{"id":449,"depth":702,"text":450},{"id":589,"depth":702,"text":590},{"id":649,"depth":702,"text":650},"Bases de la sécurité","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcover-1200x630.png","Un badge au bout d'un cordon, avec un sceau authentique et une ligne de nom vide, devant deux badges qui portent un nom et un visage.","\"invalid claim: missing sub claim\" : Supabase Auth a reçu un vrai jeton qui ne nomme personne, la clé du projet à la place d'une session.",false,"md",[718,721,724,727,730],{"q":719,"a":720},"Que signifie \"invalid claim: missing sub claim\" dans Supabase ?","Cela signifie qu'on a demandé à Supabase Auth quel utilisateur appelle et qu'on lui a remis un jeton sans utilisateur dedans. Le jeton lui-même était authentique et a passé la vérification de signature. Il lui manquait le claim sub, le champ qui contient l'identifiant d'un utilisateur. C'est exactement à cela que ressemblent les clés d'API de votre projet, d'où la cause habituelle : une clé envoyée là où le jeton d'un utilisateur connecté devrait se trouver.",{"q":722,"a":723},"Est-ce la même chose que \"Auth session missing!\" ?","Non. \"Auth session missing!\" vient de supabase-js dans le navigateur, qui ne trouve aucune session et n'envoie même pas la requête. \"invalid claim: missing sub claim\" revient de Supabase Auth, qui a reçu une requête et trouvé une clé là où devait être le jeton de l'utilisateur. Le premier signale le plus souvent une page sans connexion ; le second, une fonction ou un serveur qui a transmis la clé.",{"q":725,"a":726},"Désactiver Verify JWT règle-t-il le problème ?","Non. Verify JWT est une vérification que Supabase fait sur une Edge Function avant que votre code démarre, et ce message arrive plus tard, de Supabase Auth, quand votre code demande qui appelle. Couper la vérification de la plateforme laisse aussi passer jusqu'à votre code les requêtes sans aucun jeton, et l'erreur reste exactement où elle était.",{"q":728,"a":729},"Une connexion anonyme provoque-t-elle cette erreur ?","Non. Une connexion anonyme crée un vrai utilisateur avec son propre identifiant, donc son jeton porte un claim sub et is_anonymous à true. La clé anon est autre chose malgré son nom : une clé de projet sans utilisateur dedans, et c'est elle qui produit ce message.",{"q":731,"a":732},"Pourquoi certaines pages disent 401 et d'autres 403 ?","La page de dépannage de Supabase pour ce message porte 401 dans son titre. Le code actuel de Supabase Auth répond 403, avec le code d'erreur bad_jwt. Si votre code décide quoi faire d'après le seul statut, vérifiez aussi le code d'erreur et le message.","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",[735,516,736,737,738,739,740],"invalid claim missing sub claim supabase","AuthApiError invalid claim missing sub claim","bad_jwt supabase","supabase getuser 403","erreur getuser supabase edge function","supabase anon key getuser",{},true,"\"invalid claim: missing sub claim\" dans Supabase","\u002Fblog\u002Finvalid-claim-missing-sub-claim","2026-11-04",{"title":5,"description":714},"blog\u002Finvalid-claim-missing-sub-claim",[749,750,751],"\"invalid claim: missing sub claim\", c'est Supabase Auth qui répond 403 avec le code bad_jwt. On lui a demandé qui appelle, le jeton reçu était authentique, et il ne nommait personne.","La page de dépannage de Supabase nomme la cause courante : une clé d'API envoyée là où devrait se trouver le jeton d'accès d'un utilisateur connecté. Une clé dit quelle app appelle et ne contient aucune personne.","N'appelez la fonction qu'une fois quelqu'un connecté, et faites-la répondre 401 quand personne ne l'est. Mettre la clé secrète à la place ne change rien, car elle ne nomme personne non plus.","I4TR1UEdm03ErVRmjQYH52GlU-CpDgI2nBjqHgyEgZQ",[754,760,766,772,778,783,784,789,795,801,807,814,820,826,831,837,843,849,855,861,867,873,878,884,890,895,901,907,913,919,925,931,937,943,949,955,960,966,972,978,984,990,996,1002,1008,1014,1019,1025,1031,1037,1043,1049,1055,1061,1067,1073,1079,1085,1091,1097,1103,1109,1115,1121,1126,1132,1138,1144,1150,1156,1162,1168,1174,1180,1186,1192,1198,1204,1210,1216,1222,1228,1234,1240,1245,1251,1257,1263,1268,1274],{"path":755,"title":756,"description":757,"published":758,"category":711,"image":759,"draft":715},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\" expliqué","Supabase \"max client connections reached\" : le pooler n'a plus de place pour un client de plus. Le port de votre chaîne de connexion fixe la limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":761,"title":762,"description":763,"published":764,"category":711,"image":765,"draft":715},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Erreur Supabase : \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\" : la connexion Google est désactivée dans votre projet Supabase. Comment l'activer, et redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":767,"title":768,"description":769,"published":770,"category":711,"image":771,"draft":715},"\u002Fblog\u002Fviolates-foreign-key-constraint","Erreur Supabase \"violates foreign key constraint\" à l'insertion","Supabase \"insert or update on table violates foreign key constraint\" : votre ligne pointe vers une ligne absente. Laquelle, pourquoi, et la solution.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":773,"title":774,"description":775,"published":776,"category":711,"image":777,"draft":715},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Erreur Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\" : une colonne obligatoire est arrivée vide. D'où vient le null, et la solution.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":340,"title":779,"description":780,"published":781,"category":711,"image":782,"draft":715},"Supabase \"Auth session missing!\" : où est passée la session","\"Auth session missing!\" : supabase-js n'a trouvé aucune session connectée et n'a même pas interrogé Supabase. Où est passée la session, et la solution.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":744,"title":5,"description":714,"published":745,"category":711,"image":733,"draft":715},{"path":373,"title":785,"description":786,"published":787,"category":711,"image":788,"draft":715},"\"Failed to send a request to the Edge Function\" : la vraie cause","\"Failed to send a request to the Edge Function\" : le navigateur n'a reçu aucune réponse lisible. Sa console dit pourquoi, et si votre fonction a tourné.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":790,"title":791,"description":792,"published":793,"category":711,"image":794,"draft":715},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Pourquoi les liens e-mail de Supabase redirigent vers localhost:3000","Si Supabase redirige vers localhost:3000, la Site URL n'a jamais été changée ou votre adresse manque dans Redirect URLs. La solution, et le joker à éviter.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":796,"title":797,"description":798,"published":799,"category":711,"image":800,"draft":715},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" sur un lien neuf","Sur un lien envoyé il y a une minute, \"Email link is invalid or has expired\" de Supabase signifie souvent qu'un filtre de messagerie l'a utilisé avant.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":802,"title":803,"description":804,"published":805,"category":711,"image":806,"draft":715},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\" expliqué","Supabase \"canceling statement due to statement timeout\" : une requête a dépassé la limite de son rôle, 3 secondes pour un visiteur. Vérifiez la règle RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":808,"title":809,"description":810,"published":811,"category":812,"image":813,"draft":715},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" sur Supabase, et ce qui part avec","\"Database error deleting user\" sur Supabase : votre base a refusé la suppression. La cause est dans vos logs, et la solution décide de ce qui part avec.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":815,"title":816,"description":817,"published":818,"category":711,"image":819,"draft":715},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" sur Supabase","Un webhook Stripe dans une Edge Function Supabase affiche \"No signatures found matching the expected signature\" ? Deux causes. Gardez la vérification.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":821,"title":822,"description":823,"published":824,"category":711,"image":825,"draft":715},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" dans Supabase : les trois causes","Supabase répond \"Invalid login credentials\" à un mauvais mot de passe, un e-mail inconnu et un compte Google. Comment savoir lequel.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":324,"title":827,"description":828,"published":829,"category":711,"image":830,"draft":715},"\"Edge Function returned a non-2xx status code\" : la vraie erreur","\"Edge Function returned a non-2xx status code\" signifie que votre fonction Supabase a répondu par une erreur. Voici où lire la vraie.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":832,"title":833,"description":834,"published":835,"category":711,"image":836,"draft":715},"\u002Fblog\u002Fcertificate-not-trusted","Certificat non approuvé : trois causes autres que l’expiration","Certificat non approuvé alors que la date est bonne ? Il nomme une autre adresse, il s’est signé lui-même ou il manque un maillon à sa chaîne.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":838,"title":839,"description":840,"published":841,"category":711,"image":842,"draft":715},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\" : lisez les guillemets","Supabase \"invalid input syntax for type uuid\" : votre app a envoyé autre chose qu'un id. Lisez les guillemets, retenez la requête, gardez la colonne.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":844,"title":845,"description":846,"published":847,"category":711,"image":848,"draft":715},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\" expliqué","Supabase \"duplicate key value violates unique constraint\" : la valeur est déjà prise. Trouver la colonne, choisir un correctif, garder la valeur hors écran.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":850,"title":851,"description":852,"published":853,"category":711,"image":854,"draft":715},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" alors que la table existe","Supabase \"relation does not exist\" ou PGRST205 : aucune table ne porte ce nom dans ce schéma. Quatre vérifications, et ce qu'ouvre un schéma exposé.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":856,"title":857,"description":858,"published":859,"category":711,"image":860,"draft":715},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" cite les noms d'arguments envoyés par votre application. Comparez-les à la fonction.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":862,"title":863,"description":864,"published":865,"category":711,"image":866,"draft":715},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" vient le plus souvent du nom. Quatre vérifications, et la ligne qui recharge le cache.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":868,"title":869,"description":870,"published":871,"category":711,"image":872,"draft":715},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\" : deux limites, un code","Supabase \"Email Rate Limit Exceeded\" plafonne chaque e-mail de votre projet : 2 par heure avec l'expéditeur intégré. Ce qui compte, et comment le relever.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":585,"title":874,"description":875,"published":876,"category":711,"image":877,"draft":715},"Supabase \"Invalid Refresh Token: Refresh Token Not Found\" : 3 causes","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" déconnecte vos utilisateurs. Trois causes, et comment le log Auth les distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":879,"title":880,"description":881,"published":882,"category":711,"image":883,"draft":715},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\" : trois causes","Supabase \"permission denied for schema public\" signale un grant manquant sur le schéma. Ce qui l'a retiré, et la ligne qui le remet.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":885,"title":886,"description":887,"published":888,"category":711,"image":889,"draft":715},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\" : les trois choses que cela veut dire","Supabase \"Bucket not found\", c'est une de trois choses : un lien public vers un bucket privé, un nom pas tout à fait exact, ou le mauvais projet.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":581,"title":891,"description":892,"published":893,"category":711,"image":894,"draft":715},"Supabase invalid JWT : quelle clé a cessé de marcher ?","Une erreur Supabase invalid JWT, c'est PGRST301 : un jeton signé n'a pas passé la vérification. Sur un projet récent, c'est la session, pas la clé API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":896,"title":897,"description":898,"published":899,"category":711,"image":900,"draft":715},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" veut dire zéro ligne","Supabase renvoie PGRST116, \"JSON object requested, multiple (or no) rows returned\", quand la requête n'a rien trouvé. Une ligne cachée semble absente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":902,"title":903,"description":904,"published":905,"category":711,"image":906,"draft":715},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" sur Supabase : où regarder","\"Database error saving new user\" veut dire que quelque chose rattaché à votre inscription Supabase a échoué. La vraie erreur est dans vos logs.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":908,"title":909,"description":910,"published":911,"category":711,"image":912,"draft":715},"\u002Fblog\u002Fwhat-is-supabase","Qu'est-ce que Supabase ? La base que votre builder a choisie","Qu'est-ce que Supabase : la base de données, la connexion et le stockage de fichiers de votre app. Les règles sur qui lit vos lignes sont à vous.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":914,"title":915,"description":916,"published":917,"category":711,"image":918,"draft":715},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Une clé AWS exposée dans le frontend n'est pas une clé OpenAI","Une clé d'accès AWS exposée dans votre frontend lit et écrit votre stockage. La solution est en général une presigned URL, pas une nouvelle clé.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":920,"title":921,"description":922,"published":923,"category":711,"image":924,"draft":715},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" à l'upload","\"New row violates row-level security policy for table objects\" signifie que votre upload n'a pas de règle insert. Rendre le bucket public n'en ajoute aucune.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":926,"title":927,"description":928,"published":929,"category":711,"image":930,"draft":715},"\u002Fblog\u002Fbase44-security-scan","Scan de sécurité Base44 : ce que lui seul peut voir","Le scan de sécurité Base44 vérifie sept types de problèmes depuis l’intérieur. Voici la moitié que lui seul lit, et celle qu’il ne regarde jamais.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":932,"title":933,"description":934,"published":935,"category":711,"image":936,"draft":715},"\u002Fblog\u002Fapi-key-leaked-what-to-do","Votre clé API a fuité. L'ordre dans lequel agir","Une clé API a fuité et vous ne savez pas par quoi commencer. Toutes les clés de votre frontend n'en sont pas une, et l'ordre compte plus que la vitesse.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":938,"title":939,"description":940,"published":941,"category":711,"image":942,"draft":715},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" sans désactiver RLS","\"Infinite recursion detected in policy for relation\" signifie que votre policy a interrogé la table qu'elle protège. Voici comment rompre le cercle.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":944,"title":945,"description":946,"published":947,"category":711,"image":948,"draft":715},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" sur Supabase, et le mauvais correctif","\"No API key found in request\" veut dire que votre requête est arrivée sans clé. La plupart des réponses pointent vers les règles de votre base.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":950,"title":951,"description":952,"published":953,"category":711,"image":954,"draft":715},"\u002Fblog\u002Fis-base44-safe","Base44 est-il sûr ? Ce que 5 442 applications ont montré","Base44 est-il sûr ? Neuf vérifications sur 5 442 applications Base44 en ligne. Presque toutes ont eu un B, pour des raisons que personne n’a choisies.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":208,"title":956,"description":957,"published":958,"category":711,"image":959,"draft":715},"Cacher une clé API : la déplacer dans une Edge Function Supabase","Cacher une clé API veut dire la sortir du navigateur, et une Edge Function Supabase est le plus petit endroit où la mettre. Deux étapes comptent davantage.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":961,"title":962,"description":963,"published":964,"category":711,"image":965,"draft":715},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Votre fichier .env est-il exposé ? Les douze chemins à vérifier","Votre fichier .env est-il exposé sur votre propre serveur web ? Douze adresses vous le disent, et une réponse signifie que tout son contenu est public.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":967,"title":968,"description":969,"published":970,"category":711,"image":971,"draft":715},"\u002Fblog\u002Fis-v0-safe","Sécurité de v0 : les 1 790 applications scannées ont toutes eu A","La sécurité de v0 mesurée sur 1 790 applications en ligne : toutes ont eu A. Seules 17 citaient une base de données, et c’est surtout cela que ce A mesure.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":973,"title":974,"description":975,"published":976,"category":711,"image":977,"draft":715},"\u002Fblog\u002Fis-bolt-safe","Bolt est-il sûr ? Ce que 1 123 applications Bolt ont montré","Bolt est-il sûr ? Neuf vérifications sur 1 123 applications Bolt en ligne. L’hébergement était propre. Les trouvailles : des clés et des tables ouvertes.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":979,"title":980,"description":981,"published":982,"category":711,"image":983,"draft":715},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase en panne, ou est-ce votre app ? Comment le savoir","Supabase est-il en panne, ou est-ce votre app ? Un projet en pause, une base pleine et un bug chez vous se ressemblent. Quatre vérifications les séparent.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":985,"title":986,"description":987,"published":988,"category":711,"image":989,"draft":715},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase chiffre-t-il mes données ? Oui. Ce que cela arrête","Supabase chiffre-t-il les données ? Oui : AES-256 au repos, TLS en transit, SOC 2 et ISO 27001. Ce que couvre chacun, et la fuite qu'aucun n'arrête.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":991,"title":992,"description":993,"published":994,"category":711,"image":995,"draft":715},"\u002Fblog\u002Fsupabase-free-plan-limits","Limites du plan gratuit Supabase : ce qui se passe à chacune","Les limites du plan gratuit Supabase : 500 Mo de base, 5 Go d'egress, aucune sauvegarde. Ce qui se passe à chaque seuil, et ce que change Pro à $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":997,"title":998,"description":999,"published":1000,"category":812,"image":1001,"draft":715},"\u002Fblog\u002Ftest-your-supabase-backup","Testez votre sauvegarde Supabase avant d'en avoir besoin","Comment tester votre sauvegarde Supabase : la restaurer dans un projet d'exercice, compter les lignes, se connecter, chercher la ligne qui manque.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":1003,"title":1004,"description":1005,"published":1006,"category":812,"image":1007,"draft":715},"\u002Fblog\u002Fsupabase-backup-github-action","Sauvegarde Supabase gratuite avec une GitHub Action, et le piège","Une sauvegarde Supabase par GitHub Action est gratuite et convient à beaucoup d'apps. Le workflow, la bonne connection string et l'egress de chaque run.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":1009,"title":1010,"description":1011,"published":1012,"category":812,"image":1013,"draft":715},"\u002Fblog\u002Fdownload-your-supabase-backup","Pourquoi vous ne pouvez pas télécharger votre sauvegarde Supabase","Impossible de télécharger votre sauvegarde Supabase sur un projet récent : la copie quotidienne est physique. Comment le vérifier et garder la vôtre.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":1015,"title":1016,"description":1017,"published":1012,"category":711,"image":1018,"draft":715},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\" : le grant manquant","Dès le 30 octobre, une nouvelle table Supabase répond \"permission denied for table\" tant que l'accès n'est pas accordé. Le grant de l'e-mail est la moitié.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":1020,"title":1021,"description":1022,"published":1023,"category":711,"image":1024,"draft":715},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint d'API ouvert est-il un problème de sécurité ?","Votre scan a signalé un endpoint d'API ouvert. Que cela compte dépend de ce qui est revenu, et la plupart de ceux trouvés étaient à la plateforme.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":1026,"title":1027,"description":1028,"published":1029,"category":711,"image":1030,"draft":715},"\u002Fblog\u002Flovable-security-scan","Scan de sécurité Lovable : ce qu’il ne peut pas prouver","Scan de sécurité Lovable : ce que vérifient le Quick scan et le Deep scan, quand chacun part, et la seule chose qu’un scan de l’intérieur ne prouve pas.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":1032,"title":1033,"description":1034,"published":1035,"category":812,"image":1036,"draft":715},"\u002Fblog\u002Fsupabase-backup-auth-users","Pourquoi votre dump Supabase ne contient aucun utilisateur","Lancez supabase db dump tout seul et vous obtenez la forme de votre base et aucune de ses lignes, sans le schéma auth où vivent vos utilisateurs.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":1038,"title":1039,"description":1040,"published":1041,"category":711,"image":1042,"draft":715},"\u002Fblog\u002Fdomain-and-certificate-expiry","Domaine expiré, site hors ligne : ce qui se passe ensuite","Votre domaine a expiré et votre site est hors ligne. Le compte à rebours qui démarre, pourquoi le certificat est le moindre souci, et comment vérifier les deux.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":1044,"title":1045,"description":1046,"published":1047,"category":711,"image":1048,"draft":715},"\u002Fblog\u002Fis-lovable-safe","Lovable est-il sûr ? Ce que 18 554 applications Lovable ont montré","Lovable est-il sûr ? 18 554 applications, neuf vérifications. La plateforme était la plus propre des cinq. Les trouvailles étaient dans les applications.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":1050,"title":1051,"description":1052,"published":1053,"category":711,"image":1054,"draft":715},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist de sécurité du vibe coding, en neuf vérifications","Une checklist de sécurité du vibe coding en neuf points, chacun vérifiable de l’extérieur sur votre appli en ligne, et chacun avec un test d’une ligne.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":1056,"title":1057,"description":1058,"published":1059,"category":711,"image":1060,"draft":715},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Une clé secrète Stripe dans votre frontend peut déplacer de l’argent","Une clé secrète Stripe exposée dans votre frontend peut rembourser, débiter et lire chaque fiche client que vous détenez. Votre clé pk_live_ y a sa place.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":1062,"title":1063,"description":1064,"published":1065,"category":711,"image":1066,"draft":715},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variables d’environnement Vite exposées : le préfixe dit publier","Variables d’environnement Vite exposées : votre appli a fait ce que le préfixe demandait. VITE_ et NEXT_PUBLIC_ veulent dire publier, et l’IA ignorait le prix.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":1068,"title":1069,"description":1070,"published":1071,"category":711,"image":1072,"draft":715},"\u002Fblog\u002Fbase44-source-maps","Sécurité Base44 : ce qu’un scan signale, et ce qui dépend de vous","Sécurité Base44 sur 5 438 applis : trois signalements sur presque chacune sont ceux de la plateforme, la source map est le badge Base44, votre part est courte.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":1074,"title":1075,"description":1076,"published":1077,"category":711,"image":1078,"draft":715},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI est-il sûr ? L’éditeur, le code et l’appli publiée","Cursor AI est-il sûr ? Trois questions dans une recherche : ce que Cursor garde, ce que son code rate, et si l’appli que vous avez publiée est ouverte.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":1080,"title":1081,"description":1082,"published":1083,"category":711,"image":1084,"draft":715},"\u002Fblog\u002Fis-replit-safe","Replit est-il sûr ? Ce que 3 042 applications Replit nous ont montré","Replit est-il sûr ? 3 042 applications Replit en ligne, neuf vérifications externes. Les trouvailles étaient dans l’application publiée, pas chez l’hébergeur.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":1086,"title":1087,"description":1088,"published":1089,"category":812,"image":1090,"draft":715},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup : votre copie de base n'a aucun fichier","Un Supabase storage backup est une tâche à part. Les sauvegardes de la base gardent la liste de vos fichiers et aucun des fichiers, donc chaque upload casse.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":1092,"title":1093,"description":1094,"published":1095,"category":812,"image":1096,"draft":715},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery Supabase : prix et limites","Le point-in-time recovery de Supabase rembobine votre base à la seconde près sur la dernière semaine. $100 par mois en plus de Pro, et rien que la base.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":1098,"title":1099,"description":1100,"published":1101,"category":812,"image":1102,"draft":715},"\u002Fblog\u002Fsupabase-project-paused-recover","Projet Supabase en pause ? Vos données sont toujours là","Supabase a mis votre projet en pause après une semaine sans activité. Rien n'est supprimé, Restaurer est à côté du nom, et vous avez un an pour cliquer.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":1104,"title":1105,"description":1106,"published":1107,"category":711,"image":1108,"draft":715},"\u002Fblog\u002Fsafest-ai-app-builder","Quel builder d'app IA est le plus sûr ? 30 998 apps testées","Quel builder d'app IA est le plus sûr ? Nous avons scanné 30 998 apps actives de Lovable, Base44, Replit, v0 et Bolt. Ce n'est pas le builder qui décide.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":1110,"title":1111,"description":1112,"published":1113,"category":711,"image":1114,"draft":715},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Activer Row Level Security sur chaque table Supabase, et le prouver","Activer Row Level Security dans Supabase sans politique ferme la table entièrement. Une politique sans le réglage ne fait rien. Voici le SQL, et le test.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":1116,"title":1117,"description":1118,"published":1119,"category":711,"image":1120,"draft":715},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\" : ce que l'alerte rate","Supabase signale \"RLS disabled in public\" comme une erreur. Elle ne dit rien de la politique de lecture qui laisse votre table tout aussi ouverte.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":428,"title":1122,"description":1123,"published":1124,"category":711,"image":1125,"draft":715},"Faire tourner une clé service_role Supabase qui a fuité","Supabase dit de colmater la fuite d'abord. D'autres guides disent de faire tourner la clé tout de suite. Tout dépend d'où votre clé service_role a fuité.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":1127,"title":1128,"description":1129,"published":1130,"category":711,"image":1131,"draft":715},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanners de sécurité vibe coding comparés, le nôtre compris","Le meilleur scanner de sécurité vibe coding tient à trois questions qu'aucune liste de fonctions ne traite. Huit outils comparés, avec les prix.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":1133,"title":1134,"description":1135,"published":1136,"category":711,"image":1137,"draft":715},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker : les cinq vérifications à faire soi-même","Un Supabase security checker lit votre app publiée plutôt que les réglages de votre projet. Voici les cinq vérifications, et comment faire chacune vous-même.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":1139,"title":1140,"description":1141,"published":1142,"category":711,"image":1143,"draft":715},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner de sécurité vibe coding : ce qu’un scan d’URL rate","Un scanner de sécurité vibe coding lit votre app en ligne depuis l’extérieur. Ce qu’il couvre, les quatre choses qu’il ne voit pas, et comment lire le résultat.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":1145,"title":1146,"description":1147,"published":1148,"category":711,"image":1149,"draft":715},"\u002Fblog\u002Fmissing-security-headers","En-têtes de sécurité manquants : quand cela compte","Les en-têtes de sécurité manquants sont notre constat le plus fréquent. Contre quoi ils protègent, et quand ils comptent le moins dans votre rapport.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1151,"title":1152,"description":1153,"published":1154,"category":711,"image":1155,"draft":715},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","Votre clé API OpenAI est exposée dans votre frontend. Changez-la.","Une clé API OpenAI exposée dans votre frontend ne peut être liée à aucun domaine. Changez-la aujourd'hui, passez par votre serveur et plafonnez la dépense.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1157,"title":1158,"description":1159,"published":1160,"category":711,"image":1161,"draft":715},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Clé API exposée dans le frontend : ce que 30 998 applis livrent","Une clé API exposée dans votre frontend est le plus souvent une clé Google Maps. Nous avons scanné 30 998 applis vibe-codées et compté ce qui fuit vraiment.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1163,"title":1164,"description":1165,"published":1166,"category":812,"image":1167,"draft":715},"\u002Fblog\u002Fsupabase-backup-tools-compared","Outils de sauvegarde Supabase comparés, le nôtre compris","Quatre familles d'outil de sauvegarde Supabase, ce que chacun copie vraiment, et quand une GitHub Action gratuite bat le fait de payer, nous compris.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1169,"title":1170,"description":1171,"published":1172,"category":711,"image":1173,"draft":715},"\u002Fblog\u002Freplit-secrets-explained","Utiliser les secrets sur Replit, et ce qui est publié quand même","Utiliser les secrets sur Replit : en ajouter un, le relire, corriger les deux causes du undefined. Et les clés que l'outil Secrets ne peut pas protéger.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1175,"title":1176,"description":1177,"published":1178,"category":812,"image":1179,"draft":715},"\u002Fblog\u002Fback-up-supabase-free-tier","Sauvegardes du plan gratuit Supabase : en faire une sans terminal","Le plan gratuit de Supabase ne fait aucune sauvegarde : la copie vient de vous. Comment la faire depuis le tableau de bord, et ce que le CSV oublie.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1181,"title":1182,"description":1183,"published":1184,"category":711,"image":1185,"draft":715},"\u002Fblog\u002Fis-supabase-secure","Supabase est-il sûr ? Oui. Votre projet est une autre question","Supabase est-il sûr ? La plateforme est auditée, chiffrée et testée en intrusion. Sa documentation dit où cela s'arrête et où vos réglages commencent.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1187,"title":1188,"description":1189,"published":1190,"category":711,"image":1191,"draft":715},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Où trouver vos clés API Supabase : anon, service_role et URL","L'URL du projet, la clé anon et la clé service_role tiennent sur une page du tableau de bord. Voici où elle est, et laquelle des quatre va dans votre app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1193,"title":1194,"description":1195,"published":1196,"category":711,"image":1197,"draft":715},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy sur Supabase : et après ?","\"New row violates row-level security policy\" signifie que Supabase a refusé une écriture. Le correctif rapide rouvre la table à tout le monde.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1199,"title":1200,"description":1201,"published":1202,"category":711,"image":1203,"draft":715},"\u002Fblog\u002Fcors-wildcard-security-risk","Un joker CORS est-il un risque de sécurité ? Rarement.","Un joker CORS est-il un risque de sécurité ? C'est souvent le réglage par défaut de votre builder, et il ne livre rien que votre serveur ne donnait déjà.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1205,"title":1206,"description":1207,"published":1208,"category":812,"image":1209,"draft":715},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Le branching Supabase n'est pas une sauvegarde de vos données.","Pourquoi le branching Supabase n'est pas une sauvegarde : une branche démarre sans vos données, et un merge ne déplace que le schéma. À quoi il sert vraiment.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1211,"title":1212,"description":1213,"published":1214,"category":812,"image":1215,"draft":715},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Restaurer une sauvegarde Supabase, et ce qui casse après","Restaurer une sauvegarde Supabase depuis le tableau de bord ou un fichier de dump, ce que la restauration remplace et pourquoi votre app peut rester cassée.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1217,"title":1218,"description":1219,"published":1220,"category":711,"image":1221,"draft":715},"\u002Fblog\u002Fsupabase-storage-bucket-public","Votre bucket Supabase Storage est public. Est-ce un problème ?","Un bucket Supabase Storage public signifie que celui qui a l'URL d'un fichier peut l'ouvrir. Il ne signifie pas que quelqu'un peut lister ce qu'il contient.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1223,"title":1224,"description":1225,"published":1226,"category":711,"image":1227,"draft":715},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Une clé API Google dans votre frontend, est-ce un problème ?","Une clé API Google exposée dans votre frontend est la clé que notre scanner trouve le plus souvent, et en général tout va bien. Un réglage gratuit tranche.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1229,"title":1230,"description":1231,"published":1232,"category":812,"image":1233,"draft":715},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agent IA a supprimé mes données Supabase. Que puis-je récupérer ?","Un agent IA a supprimé des données de votre base. Ce que vous pouvez récupérer était déjà décidé avant, et les prochaines minutes décident du reste.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1235,"title":1236,"description":1237,"published":1238,"category":711,"image":1239,"draft":715},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Qui peut lire votre base Supabase ? Nous avons testé 3 680 apps","N'importe qui peut-il lire votre base de données Supabase sans se connecter ? Nous avons scanné 30 998 apps en ligne créées avec des builders IA.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1241,"title":1242,"description":1243,"published":1238,"category":711,"image":1244,"draft":715},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source maps exposées : votre app publie son code original","Une source map exposée laisse n'importe qui lire le code original de votre app, commentaires compris. Le test de 30 secondes, et ce qui compte vraiment.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1246,"title":1247,"description":1248,"published":1249,"category":711,"image":1250,"draft":715},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key : la même chose que l'anon key ?","Supabase a remplacé anon et service_role par des clés publiables et secrètes. Laquelle a sa place dans votre app, et laquelle jamais ?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1252,"title":1253,"description":1254,"published":1255,"category":812,"image":1256,"draft":715},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase sauvegarde-t-il ma base de données ? Cela dépend du plan.","Supabase sauvegarde-t-il votre base de données ? Chaque jour sur les plans payants, jamais sur le gratuit. Comment savoir ce que vous avez vraiment.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1258,"title":1259,"description":1260,"published":1261,"category":711,"image":1262,"draft":715},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security est activé. La table reste publique.","Activer Supabase Row Level Security ne protège pas une table. Ce sont vos politiques, et celle qui a réparé votre app laisse peut-être entrer tout le monde.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1264,"title":1265,"description":1266,"published":1261,"category":812,"image":1267,"draft":715},"\u002Fblog\u002Fversion-history-is-not-a-backup","L'historique des versions n'est pas une sauvegarde de vos données.","Lovable et Bolt tiennent un historique des versions de votre code. Votre base de données est un service à part, et revenir en arrière ne la ramène pas.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1269,"title":1270,"description":1271,"published":1272,"category":812,"image":1273,"draft":715},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Trois façons de sauvegarder une base Supabase, et ce qui manque","Le tableau de bord, pg_dump et un service géré. Ce que chacun enregistre, ce qu'il laisse de côté sans le dire, et lequel survit à la perte du compte.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":179,"title":1275,"description":1276,"published":1272,"category":711,"image":1277,"draft":715},"Quelles clés API sont sûres côté navigateur, et lesquelles non","Votre clé anon Supabase est faite pour être publique. Votre clé service_role non, et elle ignore toutes les règles que vous posez. Comment les distinguer.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213641782]