[{"data":1,"prerenderedAt":1127},["ShallowReactive",2],{"blog-fr-stripe-webhook-no-signatures-found":3,"blog-index-fr":597},{"id":4,"title":5,"body":6,"category":554,"cover":555,"coverAlt":556,"description":557,"draft":558,"extension":559,"faq":560,"image":576,"keywords":577,"meta":585,"navigation":586,"ogTitle":587,"path":588,"published":589,"seo":590,"stem":591,"tldr":592,"updated":589,"__hash__":596},"blog_fr\u002Fblog\u002Fstripe-webhook-no-signatures-found.md","\"No signatures found matching the expected signature\" sur Supabase",{"type":7,"value":8,"toc":542},"minimark",[9,13,24,32,37,40,47,68,71,75,78,84,95,104,110,117,123,126,130,133,136,179,205,208,213,217,225,310,317,321,324,344,350,364,367,371,374,388,395,398,418,430,434,440,449,463,473,490,494,529],[10,11,12],"p",{},"Vous avez branché Stripe sur votre app, un paiement de test est passé, et le\nwebhook censé marquer la commande comme payée n'a rien fait. Le tableau de bord\nde Stripe montre la livraison en échec, et les logs de votre Edge Function\nSupabase disent ceci :",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","No signatures found matching the expected signature for payload.\nAre you passing the raw request body you received from Stripe?\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26,27,31],{},"La bonne nouvelle tient à l'origine de l'erreur. Elle est levée par la partie de\nvotre fonction qui vérifie que la requête vient bien de Stripe, ce qui veut dire\nque cette vérification existe et fait son travail. ",[28,29,30],"strong",{},"\"No signatures found\nmatching the expected signature for payload\" a deux causes, et aucune ne se\nrègle en vérifiant moins."," Le correctif qui sort en premier quand on cherche,\nenvelopper la vérification pour que l'erreur soit ignorée, est celui qui permet\nà n'importe qui de marquer une commande comme payée.",[33,34,36],"h2",{"id":35},"que-signifie-no-signatures-found-matching-the-expected-signature","Que signifie \"No signatures found matching the expected signature\" ?",[10,38,39],{},"Votre fonction a vérifié la signature de Stripe sur la requête, et elle ne\ncorrespondait pas.",[10,41,42,43,46],{},"Imaginez chaque webhook envoyé par Stripe comme une lettre fermée par un cachet\nde cire. Stripe presse le cachet avec un sceau que seuls Stripe et vous\ndétenez : le signing secret de votre endpoint, une valeur qui commence par\n",[21,44,45],{},"whsec_",". Quand la lettre arrive, votre fonction presse sa propre copie du sceau\ncontre la cire. Si les motifs coïncident, la lettre vient de Stripe et personne\nn'y a touché en route.",[10,48,49,50,53,54,61,62,67],{},"Le cachet couvre la lettre exactement telle qu'elle a été écrite. La\nbibliothèque de Stripe prend le texte de la requête, l'heure de l'en-tête\n",[21,51,52],{},"Stripe-Signature"," et votre secret, calcule ce que devrait être la signature et\nla cherche dans cet en-tête. Le message ci-dessus est écrit\n",[55,56,60],"a",{"href":57,"rel":58},"https:\u002F\u002Fgithub.com\u002Fstripe\u002Fstripe-node\u002Fblob\u002Fmaster\u002Fsrc\u002FWebhooks.ts",[59],"nofollow","dans stripe-node lui-même",",\net c'est ce qu'il lève quand rien ne correspond. La\n",[55,63,66],{"href":64,"rel":65},"https:\u002F\u002Fdocs.stripe.com\u002Fwebhooks\u002Fsignature",[59],"page de Stripe sur les erreurs de signature","\nle dit sans détour : au moins une des trois valeurs que vous avez passées est\nfausse.",[10,69,70],{},"Il y a donc deux endroits où regarder. Soit la lettre a été modifiée avant que\nvotre fonction ne vérifie le cachet, soit votre fonction tient le mauvais sceau.",[33,72,74],{"id":73},"cause-1-le-corps-a-été-modifié-avant-la-vérification","Cause 1 : le corps a été modifié avant la vérification",[10,76,77],{},"Dans une Edge Function, la version la plus courante est un corps lu d'abord\ncomme du JSON, puis retransformé en texte pour la vérification.",[14,79,82],{"className":80,"code":81,"language":19},[17],"const event = await req.json()\nawait stripe.webhooks.constructEventAsync(JSON.stringify(event), signature, secret, undefined, cryptoProvider)\n",[21,83,81],{"__ignoreMap":23},[10,85,86,87,90,91,94],{},"Ça se lit naturellement et ça échoue à chaque fois. ",[21,88,89],{},"req.json()"," garde les\ndonnées et jette le texte : les espaces, les sauts de ligne, l'ordre dans lequel\nStripe a écrit les choses. ",[21,92,93],{},"JSON.stringify"," écrit ensuite un nouveau texte avec\nles mêmes données dedans. Le cachet a été pressé sur le texte de Stripe, et\nceci est la copie de quelqu'un d'autre, d'une autre écriture, donc ça ne peut\njamais correspondre.",[10,96,97,98,103],{},"L'",[55,99,102],{"href":100,"rel":101},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fsupabase\u002Fblob\u002Fmaster\u002Fexamples\u002Fedge-functions\u002Fsupabase\u002Ffunctions\u002Fstripe-webhooks\u002Findex.ts",[59],"exemple de webhook Stripe de Supabase","\nfait autrement : il lit le corps une seule fois, comme du texte, et transmet\ncette chaîne sans y toucher.",[14,105,108],{"className":106,"code":107,"language":19},[17],"const signature = req.headers.get('Stripe-Signature')\nconst body = await req.text()\nconst event = await stripe.webhooks.constructEventAsync(\n  body,\n  signature,\n  Deno.env.get('STRIPE_WEBHOOK_SIGNING_SECRET'),\n  undefined,\n  cryptoProvider,\n)\n",[21,109,107],{"__ignoreMap":23},[10,111,112,113,116],{},"Le commentaire de cet exemple dit pourquoi : la vérification repose sur le corps\nbrut de la requête et non sur le JSON analysé. Vous n'avez rien à analyser\nvous-même ensuite, car ",[21,114,115],{},"constructEventAsync"," renvoie l'événement déjà analysé\ndès que le cachet est bon.",[118,119],"diagram",{"alt":120,"caption":121,"src":122},"Deux copies du même corps de webhook côte à côte. Celle de gauche est le texte exactement tel qu'il est arrivé, et son cachet correspond au sceau, coché. Celle de droite contient les mêmes valeurs réécrites sur d'autres lignes, et le même sceau ne correspond plus, barré en jaune.","La signature couvre le texte envoyé par Stripe, pas les données qu'il contient. Un texte réécrit avec des données identiques échoue à la vérification.","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fsame-data-other-text-1600x720.png",[10,124,125],{},"La même chose arrive en dehors de votre code. La page de Stripe cite des\nframeworks qui analysent ou reformatent un corps avant que votre code ne le\nvoie, et le message de stripe-node ajoute qu'un outil qui vous transfère des\nwebhooks doit préserver le corps exact, mise en forme du JSON et type de saut de\nligne compris. Si un proxy ou un service de transfert se trouve entre Stripe et\nvotre fonction, vérifiez qu'il transmet le corps tel qu'il est arrivé.",[33,127,129],{"id":128},"cause-2-le-signing-secret-nest-pas-le-bon","Cause 2 : le signing secret n'est pas le bon",[10,131,132],{},"Si le corps est intact, c'est le sceau qui est faux, et la page de Stripe dit\nque c'est la cause la plus courante de toutes.",[10,134,135],{},"Trois valeurs différentes peuvent se retrouver à la place du signing secret, et\nelles se ressemblent :",[137,138,139,152,165],"ul",{},[140,141,142,145,146,151],"li",{},[28,143,144],{},"Le secret d'un autre endpoint."," Le\n",[55,147,150],{"href":148,"rel":149},"https:\u002F\u002Fdocs.stripe.com\u002Fwebhooks",[59],"guide des webhooks de Stripe"," dit que\nchaque endpoint reçoit son propre secret, et que la même adresse configurée en\nmode test et en mode live a un secret différent dans chacun. Un paiement live\nvérifié avec le secret de l'endpoint de test échoue, et l'inverse aussi.",[140,153,154,161,162,164],{},[28,155,156,157,160],{},"Le secret affiché par ",[21,158,159],{},"stripe listen","."," Quand vous transférez des\névénements vers votre machine avec l'outil en ligne de commande de Stripe, il\naffiche son propre secret ",[21,163,45],{},". Stripe dit qu'il diffère du secret de\nl'endpoint du tableau de bord et qu'on les confond. Il marche pour les\névénements que l'outil transfère, et pour rien d'autre.",[140,166,167,170,171,174,175,178],{},[28,168,169],{},"Votre clé API Stripe."," ",[21,172,173],{},"sk_live_…"," ou ",[21,176,177],{},"sk_test_…"," est la clé avec laquelle\nvotre fonction appelle Stripe. Ce n'est pas un signing secret, et une\nvérification faite avec elle ne peut jamais correspondre.",[10,180,181,182,185,186,189,190,193,194,197,198,201,202,160],{},"Pour trouver le bon, ouvrez l'endpoint dans le tableau de bord de Stripe sous\n",[28,183,184],{},"Workbench",", puis ",[28,187,188],{},"Webhooks",", et cliquez sur ",[28,191,192],{},"Reveal secret",". Vérifiez\nd'abord dans quel mode vous êtes. Comparez-le ensuite avec celui que lit votre\nfonction. Dans l'exemple ci-dessus, c'est ",[21,195,196],{},"STRIPE_WEBHOOK_SIGNING_SECRET",",\ndéfini sur la page ",[28,199,200],{},"Edge Function Secrets"," de votre projet Supabase ou avec\n",[21,203,204],{},"supabase secrets set",[10,206,207],{},"Tant que vous y êtes, regardez une dernière chose. Si la valeur a été collée\navec un espace ou un saut de ligne à la fin, stripe-node ajoute une note à la\nmême erreur : \"The provided signing secret contains whitespace.\" Effacez la\nvaleur et collez-la de nouveau, sans rien derrière.",[118,209],{"alt":210,"caption":211,"src":212},"Une enveloppe cachetée à gauche et trois sceaux à droite, marqués whsec_, stripe listen et sk_live_. Un seul des trois a le même motif que le cachet et il est coché. Les deux autres, le secret affiché par stripe listen et une clé API sk_live_, portent d'autres motifs et sont barrés en jaune.","Chaque endpoint, chaque mode et l'outil en ligne de commande signent avec leur propre secret. Seul celui qui a signé cet événement peut le vérifier.","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fwhich-stamp-1600x720.png",[33,214,216],{"id":215},"les-messages-qui-se-ressemblent-et-veulent-dire-autre-chose","Les messages qui se ressemblent et veulent dire autre chose",[10,218,219,220,224],{},"stripe-node lève plusieurs erreurs depuis la même vérification, et chacune\ndésigne un problème différent. Toutes sont écrites\n",[55,221,223],{"href":57,"rel":222},[59],"dans son code de webhooks"," :",[226,227,228,241],"table",{},[229,230,231],"thead",{},[232,233,234,238],"tr",{},[235,236,237],"th",{},"Ce que disent vos logs",[235,239,240],{},"Ce qui s'est passé",[242,243,244,255,271,284,294],"tbody",{},[232,245,246,252],{},[247,248,249],"td",{},[21,250,251],{},"No signatures found matching the expected signature for payload",[247,253,254],{},"Le corps a été modifié, ou le secret n'est pas le bon. Cet article.",[232,256,257,262],{},[247,258,259],{},[21,260,261],{},"Webhook payload must be provided as a string or a Buffer",[247,263,264,265,267,268,160],{},"Vous avez passé l'objet analysé de ",[21,266,89],{},". Passez le texte de ",[21,269,270],{},"req.text()",[232,272,273,278],{},[247,274,275],{},[21,276,277],{},"No stripe-signature header value was provided.",[247,279,280,281,283],{},"La requête n'avait pas d'en-tête ",[21,282,52],{},". Elle ne venait peut-être pas de Stripe du tout.",[232,285,286,291],{},[247,287,288],{},[21,289,290],{},"Timestamp outside the tolerance zone",[247,292,293],{},"Le cachet correspondait, mais l'événement est plus vieux que la limite. Les bibliothèques de Stripe prennent 5 minutes.",[232,295,296,301],{},[247,297,298],{},[21,299,300],{},"SubtleCryptoProvider cannot be used in a synchronous context.",[247,302,303,304,307,308,160],{},"Vous avez appelé ",[21,305,306],{},"constructEvent",". Avec le fournisseur Web Crypto dont Deno a besoin, utilisez ",[21,309,115],{},[10,311,312,313,316],{},"Et une qui n'atteint jamais votre code. Si le tableau de bord de Stripe montre\nla livraison en échec avec un ",[28,314,315],{},"401"," et que les logs de votre fonction sont\nvides, la plateforme de Supabase a refusé la requête avant que votre fonction ne\ntourne, à cause d'une vérification qui doit être coupée pour un webhook.",[33,318,320],{"id":319},"pourquoi-votre-webhook-a-besoin-de-verify_jwt-désactivé","Pourquoi votre webhook a besoin de verify_jwt désactivé",[10,322,323],{},"Parce que Stripe ne peut pas prouver qui il est comme le font les utilisateurs\nde votre app, et qu'avec la vérification active, chaque livraison est refusée.",[10,325,326,327,330,331,334,335,340,341,224],{},"Supabase place devant chaque Edge Function une vérification appelée\n",[21,328,329],{},"verify_jwt",", active par défaut. Elle veut un jeton Supabase dans l'en-tête\n",[21,332,333],{},"Authorization"," de la requête, et Stripe n'en a aucun à envoyer. Le\n",[55,336,339],{"href":337,"rel":338},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Ffunctions\u002Ffunction-configuration",[59],"guide de configuration des fonctions","\nde Supabase prend justement cet exemple, en disant que les webhooks Stripe\ndoivent être accessibles publiquement, et coupe la vérification pour cette seule\nfonction dans ",[21,342,343],{},"supabase\u002Fconfig.toml",[14,345,348],{"className":346,"code":347,"language":19},[17],"[functions.stripe-webhook]\nverify_jwt = false\n",[21,349,347],{"__ignoreMap":23},[10,351,352,353,356,357,360,361,160],{},"La commande ",[21,354,355],{},"supabase functions deploy"," accepte ",[21,358,359],{},"--no-verify-jwt"," pour la même\nchose. L'exemple Stripe de Supabase porte la même consigne dans un\ncommentaire : Stripe vérifie la requête par sa signature, donc déployez avec\n",[21,362,363],{},"verify_jwt = false",[10,365,366],{},"Avec la vérification de la plateforme coupée, n'importe quelle requête\nd'internet atteint votre code, et la vérification du cachet dans votre fonction\nest la seule chose qui distingue les lettres de Stripe de celles de n'importe\nqui.",[33,368,370],{"id":369},"pourquoi-il-ne-faut-jamais-sauter-la-vérification-de-signature","Pourquoi il ne faut jamais sauter la vérification de signature",[10,372,373],{},"Parce que sans elle, n'importe qui peut dire à votre app qu'un paiement est\npassé.",[10,375,376,377,380,381,384,385,387],{},"L'adresse d'une fonction de webhook est l'URL de votre projet, lisible par tous\ndans votre frontend, suivie de ",[21,378,379],{},"\u002Ffunctions\u002Fv1\u002F"," et du nom de la fonction,\ngénéralement le plus évident. L'exemple du guide de configuration l'appelle\nlui-même ",[21,382,383],{},"stripe-webhook",". Avec ",[21,386,329],{}," coupé, la plateforme laisse passer\nchaque requête jusqu'à votre code. Si votre code ne vérifie plus le cachet, il\ncroit chaque lettre qui arrive.",[10,389,390,391,394],{},"Un inconnu envoie donc à votre fonction une requête qui dit\n",[21,392,393],{},"checkout.session.completed",", avec une commande ou un client de son choix\ndedans. Votre fonction fait ce qu'elle fait avec une vraie : elle marque la\ncommande comme payée, fait monter le compte d'offre, débloque le\ntéléchargement. Personne n'a payé. Stripe n'en a aucune trace, parce que Stripe\nne l'a jamais envoyée.",[10,396,397],{},"Trois façons de sauter la vérification finissent toutes là :",[137,399,400,406,412],{},[140,401,402,405],{},[28,403,404],{},"La supprimer"," parce qu'elle ne passait pas.",[140,407,408,411],{},[28,409,410],{},"Intercepter l'erreur et continuer",", en journalisant l'échec et en traitant\nl'événement quand même. L'exemple renvoie un 400 depuis son bloc catch, et\nc'est la forme à garder : une requête qui échoue à la vérification s'arrête\nlà.",[140,413,414,417],{},[28,415,416],{},"Mettre la tolérance de temps à 0."," Le guide des webhooks de Stripe dit de\nne pas le faire : 0 coupe entièrement le contrôle d'ancienneté, si bien qu'un\nvrai événement que quelqu'un a capturé peut être renvoyé plus tard.",[10,419,420,421,425,426,160],{},"Une clé secrète Stripe active dans votre frontend est l'autre façon dont les\npaiements tournent mal, et c'est celle que nous voyons de l'extérieur : nous en\navons trouvé une dans\n",[55,422,424],{"href":423},"\u002Fblog\u002Fstripe-secret-key-in-frontend","3 des 30 998 applis scannées",". Notre scan\ngratuit lit le JavaScript de votre app en ligne comme le ferait un inconnu et\nnomme chaque clé qu'il trouve, en précisant si elle a sa place là. Il prend\nenviron 20 secondes et ne demande aucun compte :\n",[55,427,429],{"href":428},"\u002Fsecurity-scanner","scannez votre app",[33,431,433],{"id":432},"si-un-faux-paiement-passe-un-jour","Si un faux paiement passe un jour",[10,435,436,439],{},[28,437,438],{},"Une vérification retirée par un prompt ne s'annonce pas."," Un builder à qui\nvous demandez de refaire marcher le webhook est libre de prendre le raccourci\nci-dessus, et votre app continue de fonctionner pendant ce temps.",[10,441,442],{},[28,443,444,448],{},[55,445,447],{"href":446},"\u002Fwebsite-monitoring","Reeve Monitor"," surveille ce qu'un inconnu peut voir de l'extérieur :",[137,450,451,454,457,460],{},[140,452,453],{},"les neuf vérifications toutes les heures, sur trois apps au plus",[140,455,456],{},"un e-mail le jour où un nouveau scan note votre app moins bien que le précédent ; une clé secrète dans votre JavaScript plafonne à elle seule la note à D",[140,458,459],{},"si l'app répond, toutes les 60 secondes",[140,461,462],{},"un rapport mensuel de ce qui a été vu",[10,464,465],{},[28,466,467,468,472],{},"Un faux événement écrit dans votre base de données comme un vrai.\n",[55,469,471],{"href":470},"\u002Fsupabase-backups","Reeve Care"," garde une copie de votre base Supabase d'avant.",[137,474,475,478,481,484,487],{},[140,476,477],{},"une copie chiffrée selon un calendrier, conservée sur le stockage de Reeve dans l'UE, en dehors de votre compte Supabase",[140,479,480],{},"chaque copie vérifiée avant de compter, en comptant les lignes de chaque table",[140,482,483],{},"une restauration en un clic qui sauvegarde ce qui est là avant de le remplacer",[140,485,486],{},"vos fichiers téléversés aussi, dès que vous connectez un accès Storage",[140,488,489],{},"tout ce que fait Monitor",[33,491,493],{"id":492},"quoi-faire-maintenant","Quoi faire maintenant",[495,496,497],"key-takeaways",{},[137,498,499,502,514,520,526],{},[140,500,501],{},"Ouvrez la livraison en échec dans le tableau de bord de Stripe et l'onglet Logs de votre fonction, et lisez le message exact avant de changer quoi que ce soit.",[140,503,504,505,508,509,511,512,160],{},"Lisez le corps avec ",[21,506,507],{},"await req.text()"," et passez cette chaîne intacte à ",[21,510,115],{},". Ne vérifiez jamais un événement passé par ",[21,513,93],{},[140,515,516,517,519],{},"Copiez le secret ",[21,518,45],{}," de l'endpoint depuis lequel Stripe envoie, dans le bon mode, et collez-le dans Edge Function Secrets sans rien derrière.",[140,521,522,523,525],{},"Gardez ",[21,524,363],{}," sur le webhook, et la vérification de signature comme première chose que fait la fonction.",[140,527,528],{},"Renvoyez un 400 quand la vérification échoue. N'interceptez jamais l'erreur pour traiter l'événement quand même.",[10,530,531,532,536,537,541],{},"Le reste de ce dont a besoin une fonction qui détient un secret se trouve dans\n",[55,533,535],{"href":534},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","déplacer un secret dans une Edge Function",",\net si votre erreur est l'erreur générique de supabase-js,\n",[55,538,540],{"href":539},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","lire un code de statut non-2xx","\nindique où se trouve le vrai message.",{"title":23,"searchDepth":543,"depth":543,"links":544},3,[545,547,548,549,550,551,552,553],{"id":35,"depth":546,"text":36},2,{"id":73,"depth":546,"text":74},{"id":128,"depth":546,"text":129},{"id":215,"depth":546,"text":216},{"id":319,"depth":546,"text":320},{"id":369,"depth":546,"text":370},{"id":432,"depth":546,"text":433},{"id":492,"depth":546,"text":493},"Bases de la sécurité","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcover-1200x630.png","Une enveloppe fermée par un cachet de cire turquoise et, à côté, un sceau dont le motif ne correspond pas à l'empreinte, marqué en jaune.","Un webhook Stripe dans une Edge Function Supabase affiche \"No signatures found matching the expected signature\" ? Deux causes. Gardez la vérification.",false,"md",[561,564,567,570,573],{"q":562,"a":563},"Que signifie \"No signatures found matching the expected signature for payload\" ?","Votre fonction de webhook a calculé la signature qu'elle attendait à partir du corps de la requête et de votre signing secret, et aucune des signatures de l'en-tête Stripe-Signature ne correspondait. La bibliothèque de Stripe lève cette erreur quand le corps qu'elle reçoit n'est pas, octet pour octet, ce que Stripe a envoyé, ou quand le secret n'est pas celui de l'endpoint qui a envoyé l'événement.",{"q":565,"a":566},"Pourquoi ça échoue quand je passe JSON.stringify de l'événement ?","Parce que la signature couvre le texte exact envoyé par Stripe, espaces et sauts de ligne compris. Lire le corps avec req.json() puis le retransformer en texte avec JSON.stringify vous donne les mêmes données dans un autre texte, et un autre texte a une autre signature. Lisez le corps une seule fois avec await req.text() et passez cette chaîne à constructEventAsync.",{"q":568,"a":569},"Quel signing secret utiliser ?","Le secret whsec_ de l'endpoint exact auquel Stripe livre. Chaque endpoint a le sien, la même adresse configurée en mode test et en mode live a un secret différent dans chacun, et la commande stripe listen affiche son propre secret, qui ne vaut que pour les événements qu'elle transfère. Votre clé API sk_ n'est pas du tout un signing secret.",{"q":571,"a":572},"Ma fonction de webhook Stripe doit-elle avoir verify_jwt désactivé ?","Oui. Stripe n'a aucun jeton Supabase à envoyer, donc avec la vérification active, chaque livraison est refusée avec un 401 avant que votre code ne tourne. L'exemple Stripe de Supabase dit lui-même de la déployer avec verify_jwt = false. La vérification de signature dans votre fonction devient alors la seule vérification qui existe, et elle ne doit jamais être sautée, ni interceptée puis ignorée.",{"q":574,"a":575},"Puis-je retirer la vérification de signature pour que les paiements marchent ?","Vous pouvez, et n'importe qui trouvant l'adresse de la fonction pourra alors lui envoyer un événement disant qu'un paiement a réussi. L'adresse est l'URL de votre projet, présente dans votre frontend, suivie du nom de la fonction. Sans la vérification, votre fonction croit chaque requête qu'elle reçoit et accorde ce que l'événement dit avoir été payé.","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",[578,579,580,581,582,583,584],"no signatures found matching the expected signature for payload","stripe webhook supabase edge function","stripe signature verification failed","constructEventAsync deno","stripe webhook raw body","stripe webhook signing secret","supabase stripe webhook 401",{},true,"\"No signatures found matching the expected signature\"","\u002Fblog\u002Fstripe-webhook-no-signatures-found","2026-10-29",{"title":5,"description":557},"blog\u002Fstripe-webhook-no-signatures-found",[593,594,595],"\"No signatures found matching the expected signature for payload\" signifie que votre fonction a vérifié la signature de Stripe et qu'elle ne correspondait pas. Soit le corps a été modifié avant la vérification, soit le signing secret n'est pas celui avec lequel Stripe a signé.","Lisez le corps avec await req.text() et passez cette chaîne, intacte, à constructEventAsync. Comparez ensuite le secret whsec_ de votre fonction avec celui de l'endpoint exact depuis lequel Stripe envoie.","Ne faites pas disparaître l'erreur en sautant la vérification. Le webhook doit tourner avec verify_jwt = false, donc la signature est la seule chose qui empêche un inconnu de dire à votre app qu'un paiement a réussi.","q6uw3R-Ml9O93ylcMk9MMf2gJVwB9Zy1kohZUbUhaUg",[598,604,610,616,622,628,634,640,646,652,658,665,666,672,677,683,689,695,701,707,713,719,725,731,737,743,749,755,761,767,773,779,785,791,797,803,808,814,820,826,832,838,844,850,856,862,867,873,879,885,891,897,903,908,914,920,926,932,938,944,950,956,962,968,974,980,986,992,998,1004,1010,1016,1022,1028,1034,1040,1046,1052,1058,1064,1070,1076,1082,1088,1093,1099,1105,1111,1116,1122],{"path":599,"title":600,"description":601,"published":602,"category":554,"image":603,"draft":558},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\" expliqué","Supabase \"max client connections reached\" : le pooler n'a plus de place pour un client de plus. Le port de votre chaîne de connexion fixe la limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":605,"title":606,"description":607,"published":608,"category":554,"image":609,"draft":558},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Erreur Supabase : \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\" : la connexion Google est désactivée dans votre projet Supabase. Comment l'activer, et redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":611,"title":612,"description":613,"published":614,"category":554,"image":615,"draft":558},"\u002Fblog\u002Fviolates-foreign-key-constraint","Erreur Supabase \"violates foreign key constraint\" à l'insertion","Supabase \"insert or update on table violates foreign key constraint\" : votre ligne pointe vers une ligne absente. Laquelle, pourquoi, et la solution.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":617,"title":618,"description":619,"published":620,"category":554,"image":621,"draft":558},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Erreur Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\" : une colonne obligatoire est arrivée vide. D'où vient le null, et la solution.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":623,"title":624,"description":625,"published":626,"category":554,"image":627,"draft":558},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\" : où est passée la session","\"Auth session missing!\" : supabase-js n'a trouvé aucune session connectée et n'a même pas interrogé Supabase. Où est passée la session, et la solution.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":629,"title":630,"description":631,"published":632,"category":554,"image":633,"draft":558},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\" : personne de connecté","\"invalid claim: missing sub claim\" : Supabase Auth a reçu un vrai jeton qui ne nomme personne, la clé du projet à la place d'une session.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":635,"title":636,"description":637,"published":638,"category":554,"image":639,"draft":558},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\" : la vraie cause","\"Failed to send a request to the Edge Function\" : le navigateur n'a reçu aucune réponse lisible. Sa console dit pourquoi, et si votre fonction a tourné.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":641,"title":642,"description":643,"published":644,"category":554,"image":645,"draft":558},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Pourquoi les liens e-mail de Supabase redirigent vers localhost:3000","Si Supabase redirige vers localhost:3000, la Site URL n'a jamais été changée ou votre adresse manque dans Redirect URLs. La solution, et le joker à éviter.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":647,"title":648,"description":649,"published":650,"category":554,"image":651,"draft":558},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" sur un lien neuf","Sur un lien envoyé il y a une minute, \"Email link is invalid or has expired\" de Supabase signifie souvent qu'un filtre de messagerie l'a utilisé avant.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":653,"title":654,"description":655,"published":656,"category":554,"image":657,"draft":558},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\" expliqué","Supabase \"canceling statement due to statement timeout\" : une requête a dépassé la limite de son rôle, 3 secondes pour un visiteur. Vérifiez la règle RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":659,"title":660,"description":661,"published":662,"category":663,"image":664,"draft":558},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" sur Supabase, et ce qui part avec","\"Database error deleting user\" sur Supabase : votre base a refusé la suppression. La cause est dans vos logs, et la solution décide de ce qui part avec.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":588,"title":5,"description":557,"published":589,"category":554,"image":576,"draft":558},{"path":667,"title":668,"description":669,"published":670,"category":554,"image":671,"draft":558},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" dans Supabase : les trois causes","Supabase répond \"Invalid login credentials\" à un mauvais mot de passe, un e-mail inconnu et un compte Google. Comment savoir lequel.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":539,"title":673,"description":674,"published":675,"category":554,"image":676,"draft":558},"\"Edge Function returned a non-2xx status code\" : la vraie erreur","\"Edge Function returned a non-2xx status code\" signifie que votre fonction Supabase a répondu par une erreur. Voici où lire la vraie.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":678,"title":679,"description":680,"published":681,"category":554,"image":682,"draft":558},"\u002Fblog\u002Fcertificate-not-trusted","Certificat non approuvé : trois causes autres que l’expiration","Certificat non approuvé alors que la date est bonne ? Il nomme une autre adresse, il s’est signé lui-même ou il manque un maillon à sa chaîne.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":684,"title":685,"description":686,"published":687,"category":554,"image":688,"draft":558},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\" : lisez les guillemets","Supabase \"invalid input syntax for type uuid\" : votre app a envoyé autre chose qu'un id. Lisez les guillemets, retenez la requête, gardez la colonne.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":690,"title":691,"description":692,"published":693,"category":554,"image":694,"draft":558},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\" expliqué","Supabase \"duplicate key value violates unique constraint\" : la valeur est déjà prise. Trouver la colonne, choisir un correctif, garder la valeur hors écran.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":696,"title":697,"description":698,"published":699,"category":554,"image":700,"draft":558},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" alors que la table existe","Supabase \"relation does not exist\" ou PGRST205 : aucune table ne porte ce nom dans ce schéma. Quatre vérifications, et ce qu'ouvre un schéma exposé.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":702,"title":703,"description":704,"published":705,"category":554,"image":706,"draft":558},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" cite les noms d'arguments envoyés par votre application. Comparez-les à la fonction.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":708,"title":709,"description":710,"published":711,"category":554,"image":712,"draft":558},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" vient le plus souvent du nom. Quatre vérifications, et la ligne qui recharge le cache.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":714,"title":715,"description":716,"published":717,"category":554,"image":718,"draft":558},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\" : deux limites, un code","Supabase \"Email Rate Limit Exceeded\" plafonne chaque e-mail de votre projet : 2 par heure avec l'expéditeur intégré. Ce qui compte, et comment le relever.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":720,"title":721,"description":722,"published":723,"category":554,"image":724,"draft":558},"\u002Fblog\u002Fsupabase-users-logged-out","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" : 3 causes","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" déconnecte vos utilisateurs. Trois causes, et comment le log Auth les distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":726,"title":727,"description":728,"published":729,"category":554,"image":730,"draft":558},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\" : trois causes","Supabase \"permission denied for schema public\" signale un grant manquant sur le schéma. Ce qui l'a retiré, et la ligne qui le remet.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":732,"title":733,"description":734,"published":735,"category":554,"image":736,"draft":558},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\" : les trois choses que cela veut dire","Supabase \"Bucket not found\", c'est une de trois choses : un lien public vers un bucket privé, un nom pas tout à fait exact, ou le mauvais projet.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":738,"title":739,"description":740,"published":741,"category":554,"image":742,"draft":558},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT : quelle clé a cessé de marcher ?","Une erreur Supabase invalid JWT, c'est PGRST301 : un jeton signé n'a pas passé la vérification. Sur un projet récent, c'est la session, pas la clé API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":744,"title":745,"description":746,"published":747,"category":554,"image":748,"draft":558},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" veut dire zéro ligne","Supabase renvoie PGRST116, \"JSON object requested, multiple (or no) rows returned\", quand la requête n'a rien trouvé. Une ligne cachée semble absente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":750,"title":751,"description":752,"published":753,"category":554,"image":754,"draft":558},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" sur Supabase : où regarder","\"Database error saving new user\" veut dire que quelque chose rattaché à votre inscription Supabase a échoué. La vraie erreur est dans vos logs.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":756,"title":757,"description":758,"published":759,"category":554,"image":760,"draft":558},"\u002Fblog\u002Fwhat-is-supabase","Qu'est-ce que Supabase ? La base que votre builder a choisie","Qu'est-ce que Supabase : la base de données, la connexion et le stockage de fichiers de votre app. Les règles sur qui lit vos lignes sont à vous.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":762,"title":763,"description":764,"published":765,"category":554,"image":766,"draft":558},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Une clé AWS exposée dans le frontend n'est pas une clé OpenAI","Une clé d'accès AWS exposée dans votre frontend lit et écrit votre stockage. La solution est en général une presigned URL, pas une nouvelle clé.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":768,"title":769,"description":770,"published":771,"category":554,"image":772,"draft":558},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" à l'upload","\"New row violates row-level security policy for table objects\" signifie que votre upload n'a pas de règle insert. Rendre le bucket public n'en ajoute aucune.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":774,"title":775,"description":776,"published":777,"category":554,"image":778,"draft":558},"\u002Fblog\u002Fbase44-security-scan","Scan de sécurité Base44 : ce que lui seul peut voir","Le scan de sécurité Base44 vérifie sept types de problèmes depuis l’intérieur. Voici la moitié que lui seul lit, et celle qu’il ne regarde jamais.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":780,"title":781,"description":782,"published":783,"category":554,"image":784,"draft":558},"\u002Fblog\u002Fapi-key-leaked-what-to-do","Votre clé API a fuité. L'ordre dans lequel agir","Une clé API a fuité et vous ne savez pas par quoi commencer. Toutes les clés de votre frontend n'en sont pas une, et l'ordre compte plus que la vitesse.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":786,"title":787,"description":788,"published":789,"category":554,"image":790,"draft":558},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" sans désactiver RLS","\"Infinite recursion detected in policy for relation\" signifie que votre policy a interrogé la table qu'elle protège. Voici comment rompre le cercle.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":792,"title":793,"description":794,"published":795,"category":554,"image":796,"draft":558},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" sur Supabase, et le mauvais correctif","\"No API key found in request\" veut dire que votre requête est arrivée sans clé. La plupart des réponses pointent vers les règles de votre base.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":798,"title":799,"description":800,"published":801,"category":554,"image":802,"draft":558},"\u002Fblog\u002Fis-base44-safe","Base44 est-il sûr ? Ce que 5 442 applications ont montré","Base44 est-il sûr ? Neuf vérifications sur 5 442 applications Base44 en ligne. Presque toutes ont eu un B, pour des raisons que personne n’a choisies.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":534,"title":804,"description":805,"published":806,"category":554,"image":807,"draft":558},"Cacher une clé API : la déplacer dans une Edge Function Supabase","Cacher une clé API veut dire la sortir du navigateur, et une Edge Function Supabase est le plus petit endroit où la mettre. Deux étapes comptent davantage.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":809,"title":810,"description":811,"published":812,"category":554,"image":813,"draft":558},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Votre fichier .env est-il exposé ? Les douze chemins à vérifier","Votre fichier .env est-il exposé sur votre propre serveur web ? Douze adresses vous le disent, et une réponse signifie que tout son contenu est public.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":815,"title":816,"description":817,"published":818,"category":554,"image":819,"draft":558},"\u002Fblog\u002Fis-v0-safe","Sécurité de v0 : les 1 790 applications scannées ont toutes eu A","La sécurité de v0 mesurée sur 1 790 applications en ligne : toutes ont eu A. Seules 17 citaient une base de données, et c’est surtout cela que ce A mesure.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":821,"title":822,"description":823,"published":824,"category":554,"image":825,"draft":558},"\u002Fblog\u002Fis-bolt-safe","Bolt est-il sûr ? Ce que 1 123 applications Bolt ont montré","Bolt est-il sûr ? Neuf vérifications sur 1 123 applications Bolt en ligne. L’hébergement était propre. Les trouvailles : des clés et des tables ouvertes.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":827,"title":828,"description":829,"published":830,"category":554,"image":831,"draft":558},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase en panne, ou est-ce votre app ? Comment le savoir","Supabase est-il en panne, ou est-ce votre app ? Un projet en pause, une base pleine et un bug chez vous se ressemblent. Quatre vérifications les séparent.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":833,"title":834,"description":835,"published":836,"category":554,"image":837,"draft":558},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase chiffre-t-il mes données ? Oui. Ce que cela arrête","Supabase chiffre-t-il les données ? Oui : AES-256 au repos, TLS en transit, SOC 2 et ISO 27001. Ce que couvre chacun, et la fuite qu'aucun n'arrête.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":839,"title":840,"description":841,"published":842,"category":554,"image":843,"draft":558},"\u002Fblog\u002Fsupabase-free-plan-limits","Limites du plan gratuit Supabase : ce qui se passe à chacune","Les limites du plan gratuit Supabase : 500 Mo de base, 5 Go d'egress, aucune sauvegarde. Ce qui se passe à chaque seuil, et ce que change Pro à $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":845,"title":846,"description":847,"published":848,"category":663,"image":849,"draft":558},"\u002Fblog\u002Ftest-your-supabase-backup","Testez votre sauvegarde Supabase avant d'en avoir besoin","Comment tester votre sauvegarde Supabase : la restaurer dans un projet d'exercice, compter les lignes, se connecter, chercher la ligne qui manque.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":851,"title":852,"description":853,"published":854,"category":663,"image":855,"draft":558},"\u002Fblog\u002Fsupabase-backup-github-action","Sauvegarde Supabase gratuite avec une GitHub Action, et le piège","Une sauvegarde Supabase par GitHub Action est gratuite et convient à beaucoup d'apps. Le workflow, la bonne connection string et l'egress de chaque run.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":857,"title":858,"description":859,"published":860,"category":663,"image":861,"draft":558},"\u002Fblog\u002Fdownload-your-supabase-backup","Pourquoi vous ne pouvez pas télécharger votre sauvegarde Supabase","Impossible de télécharger votre sauvegarde Supabase sur un projet récent : la copie quotidienne est physique. Comment le vérifier et garder la vôtre.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":863,"title":864,"description":865,"published":860,"category":554,"image":866,"draft":558},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\" : le grant manquant","Dès le 30 octobre, une nouvelle table Supabase répond \"permission denied for table\" tant que l'accès n'est pas accordé. Le grant de l'e-mail est la moitié.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":868,"title":869,"description":870,"published":871,"category":554,"image":872,"draft":558},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint d'API ouvert est-il un problème de sécurité ?","Votre scan a signalé un endpoint d'API ouvert. Que cela compte dépend de ce qui est revenu, et la plupart de ceux trouvés étaient à la plateforme.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":874,"title":875,"description":876,"published":877,"category":554,"image":878,"draft":558},"\u002Fblog\u002Flovable-security-scan","Scan de sécurité Lovable : ce qu’il ne peut pas prouver","Scan de sécurité Lovable : ce que vérifient le Quick scan et le Deep scan, quand chacun part, et la seule chose qu’un scan de l’intérieur ne prouve pas.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":880,"title":881,"description":882,"published":883,"category":663,"image":884,"draft":558},"\u002Fblog\u002Fsupabase-backup-auth-users","Pourquoi votre dump Supabase ne contient aucun utilisateur","Lancez supabase db dump tout seul et vous obtenez la forme de votre base et aucune de ses lignes, sans le schéma auth où vivent vos utilisateurs.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":886,"title":887,"description":888,"published":889,"category":554,"image":890,"draft":558},"\u002Fblog\u002Fdomain-and-certificate-expiry","Domaine expiré, site hors ligne : ce qui se passe ensuite","Votre domaine a expiré et votre site est hors ligne. Le compte à rebours qui démarre, pourquoi le certificat est le moindre souci, et comment vérifier les deux.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":892,"title":893,"description":894,"published":895,"category":554,"image":896,"draft":558},"\u002Fblog\u002Fis-lovable-safe","Lovable est-il sûr ? Ce que 18 554 applications Lovable ont montré","Lovable est-il sûr ? 18 554 applications, neuf vérifications. La plateforme était la plus propre des cinq. Les trouvailles étaient dans les applications.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":898,"title":899,"description":900,"published":901,"category":554,"image":902,"draft":558},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist de sécurité du vibe coding, en neuf vérifications","Une checklist de sécurité du vibe coding en neuf points, chacun vérifiable de l’extérieur sur votre appli en ligne, et chacun avec un test d’une ligne.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":423,"title":904,"description":905,"published":906,"category":554,"image":907,"draft":558},"Une clé secrète Stripe dans votre frontend peut déplacer de l’argent","Une clé secrète Stripe exposée dans votre frontend peut rembourser, débiter et lire chaque fiche client que vous détenez. Votre clé pk_live_ y a sa place.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":909,"title":910,"description":911,"published":912,"category":554,"image":913,"draft":558},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variables d’environnement Vite exposées : le préfixe dit publier","Variables d’environnement Vite exposées : votre appli a fait ce que le préfixe demandait. VITE_ et NEXT_PUBLIC_ veulent dire publier, et l’IA ignorait le prix.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":915,"title":916,"description":917,"published":918,"category":554,"image":919,"draft":558},"\u002Fblog\u002Fbase44-source-maps","Sécurité Base44 : ce qu’un scan signale, et ce qui dépend de vous","Sécurité Base44 sur 5 438 applis : trois signalements sur presque chacune sont ceux de la plateforme, la source map est le badge Base44, votre part est courte.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":921,"title":922,"description":923,"published":924,"category":554,"image":925,"draft":558},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI est-il sûr ? L’éditeur, le code et l’appli publiée","Cursor AI est-il sûr ? Trois questions dans une recherche : ce que Cursor garde, ce que son code rate, et si l’appli que vous avez publiée est ouverte.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":927,"title":928,"description":929,"published":930,"category":554,"image":931,"draft":558},"\u002Fblog\u002Fis-replit-safe","Replit est-il sûr ? Ce que 3 042 applications Replit nous ont montré","Replit est-il sûr ? 3 042 applications Replit en ligne, neuf vérifications externes. Les trouvailles étaient dans l’application publiée, pas chez l’hébergeur.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":933,"title":934,"description":935,"published":936,"category":663,"image":937,"draft":558},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup : votre copie de base n'a aucun fichier","Un Supabase storage backup est une tâche à part. Les sauvegardes de la base gardent la liste de vos fichiers et aucun des fichiers, donc chaque upload casse.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":939,"title":940,"description":941,"published":942,"category":663,"image":943,"draft":558},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery Supabase : prix et limites","Le point-in-time recovery de Supabase rembobine votre base à la seconde près sur la dernière semaine. $100 par mois en plus de Pro, et rien que la base.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":945,"title":946,"description":947,"published":948,"category":663,"image":949,"draft":558},"\u002Fblog\u002Fsupabase-project-paused-recover","Projet Supabase en pause ? Vos données sont toujours là","Supabase a mis votre projet en pause après une semaine sans activité. Rien n'est supprimé, Restaurer est à côté du nom, et vous avez un an pour cliquer.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":951,"title":952,"description":953,"published":954,"category":554,"image":955,"draft":558},"\u002Fblog\u002Fsafest-ai-app-builder","Quel builder d'app IA est le plus sûr ? 30 998 apps testées","Quel builder d'app IA est le plus sûr ? Nous avons scanné 30 998 apps actives de Lovable, Base44, Replit, v0 et Bolt. Ce n'est pas le builder qui décide.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":957,"title":958,"description":959,"published":960,"category":554,"image":961,"draft":558},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Activer Row Level Security sur chaque table Supabase, et le prouver","Activer Row Level Security dans Supabase sans politique ferme la table entièrement. Une politique sans le réglage ne fait rien. Voici le SQL, et le test.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":963,"title":964,"description":965,"published":966,"category":554,"image":967,"draft":558},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\" : ce que l'alerte rate","Supabase signale \"RLS disabled in public\" comme une erreur. Elle ne dit rien de la politique de lecture qui laisse votre table tout aussi ouverte.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":969,"title":970,"description":971,"published":972,"category":554,"image":973,"draft":558},"\u002Fblog\u002Frotate-supabase-service-role-key","Faire tourner une clé service_role Supabase qui a fuité","Supabase dit de colmater la fuite d'abord. D'autres guides disent de faire tourner la clé tout de suite. Tout dépend d'où votre clé service_role a fuité.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":975,"title":976,"description":977,"published":978,"category":554,"image":979,"draft":558},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanners de sécurité vibe coding comparés, le nôtre compris","Le meilleur scanner de sécurité vibe coding tient à trois questions qu'aucune liste de fonctions ne traite. Huit outils comparés, avec les prix.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":981,"title":982,"description":983,"published":984,"category":554,"image":985,"draft":558},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker : les cinq vérifications à faire soi-même","Un Supabase security checker lit votre app publiée plutôt que les réglages de votre projet. Voici les cinq vérifications, et comment faire chacune vous-même.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":987,"title":988,"description":989,"published":990,"category":554,"image":991,"draft":558},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner de sécurité vibe coding : ce qu’un scan d’URL rate","Un scanner de sécurité vibe coding lit votre app en ligne depuis l’extérieur. Ce qu’il couvre, les quatre choses qu’il ne voit pas, et comment lire le résultat.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":993,"title":994,"description":995,"published":996,"category":554,"image":997,"draft":558},"\u002Fblog\u002Fmissing-security-headers","En-têtes de sécurité manquants : quand cela compte","Les en-têtes de sécurité manquants sont notre constat le plus fréquent. Contre quoi ils protègent, et quand ils comptent le moins dans votre rapport.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":999,"title":1000,"description":1001,"published":1002,"category":554,"image":1003,"draft":558},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","Votre clé API OpenAI est exposée dans votre frontend. Changez-la.","Une clé API OpenAI exposée dans votre frontend ne peut être liée à aucun domaine. Changez-la aujourd'hui, passez par votre serveur et plafonnez la dépense.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1005,"title":1006,"description":1007,"published":1008,"category":554,"image":1009,"draft":558},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Clé API exposée dans le frontend : ce que 30 998 applis livrent","Une clé API exposée dans votre frontend est le plus souvent une clé Google Maps. Nous avons scanné 30 998 applis vibe-codées et compté ce qui fuit vraiment.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1011,"title":1012,"description":1013,"published":1014,"category":663,"image":1015,"draft":558},"\u002Fblog\u002Fsupabase-backup-tools-compared","Outils de sauvegarde Supabase comparés, le nôtre compris","Quatre familles d'outil de sauvegarde Supabase, ce que chacun copie vraiment, et quand une GitHub Action gratuite bat le fait de payer, nous compris.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1017,"title":1018,"description":1019,"published":1020,"category":554,"image":1021,"draft":558},"\u002Fblog\u002Freplit-secrets-explained","Utiliser les secrets sur Replit, et ce qui est publié quand même","Utiliser les secrets sur Replit : en ajouter un, le relire, corriger les deux causes du undefined. Et les clés que l'outil Secrets ne peut pas protéger.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1023,"title":1024,"description":1025,"published":1026,"category":663,"image":1027,"draft":558},"\u002Fblog\u002Fback-up-supabase-free-tier","Sauvegardes du plan gratuit Supabase : en faire une sans terminal","Le plan gratuit de Supabase ne fait aucune sauvegarde : la copie vient de vous. Comment la faire depuis le tableau de bord, et ce que le CSV oublie.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1029,"title":1030,"description":1031,"published":1032,"category":554,"image":1033,"draft":558},"\u002Fblog\u002Fis-supabase-secure","Supabase est-il sûr ? Oui. Votre projet est une autre question","Supabase est-il sûr ? La plateforme est auditée, chiffrée et testée en intrusion. Sa documentation dit où cela s'arrête et où vos réglages commencent.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1035,"title":1036,"description":1037,"published":1038,"category":554,"image":1039,"draft":558},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Où trouver vos clés API Supabase : anon, service_role et URL","L'URL du projet, la clé anon et la clé service_role tiennent sur une page du tableau de bord. Voici où elle est, et laquelle des quatre va dans votre app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1041,"title":1042,"description":1043,"published":1044,"category":554,"image":1045,"draft":558},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy sur Supabase : et après ?","\"New row violates row-level security policy\" signifie que Supabase a refusé une écriture. Le correctif rapide rouvre la table à tout le monde.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1047,"title":1048,"description":1049,"published":1050,"category":554,"image":1051,"draft":558},"\u002Fblog\u002Fcors-wildcard-security-risk","Un joker CORS est-il un risque de sécurité ? Rarement.","Un joker CORS est-il un risque de sécurité ? C'est souvent le réglage par défaut de votre builder, et il ne livre rien que votre serveur ne donnait déjà.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1053,"title":1054,"description":1055,"published":1056,"category":663,"image":1057,"draft":558},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Le branching Supabase n'est pas une sauvegarde de vos données.","Pourquoi le branching Supabase n'est pas une sauvegarde : une branche démarre sans vos données, et un merge ne déplace que le schéma. À quoi il sert vraiment.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1059,"title":1060,"description":1061,"published":1062,"category":663,"image":1063,"draft":558},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Restaurer une sauvegarde Supabase, et ce qui casse après","Restaurer une sauvegarde Supabase depuis le tableau de bord ou un fichier de dump, ce que la restauration remplace et pourquoi votre app peut rester cassée.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1065,"title":1066,"description":1067,"published":1068,"category":554,"image":1069,"draft":558},"\u002Fblog\u002Fsupabase-storage-bucket-public","Votre bucket Supabase Storage est public. Est-ce un problème ?","Un bucket Supabase Storage public signifie que celui qui a l'URL d'un fichier peut l'ouvrir. Il ne signifie pas que quelqu'un peut lister ce qu'il contient.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1071,"title":1072,"description":1073,"published":1074,"category":554,"image":1075,"draft":558},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Une clé API Google dans votre frontend, est-ce un problème ?","Une clé API Google exposée dans votre frontend est la clé que notre scanner trouve le plus souvent, et en général tout va bien. Un réglage gratuit tranche.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1077,"title":1078,"description":1079,"published":1080,"category":663,"image":1081,"draft":558},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agent IA a supprimé mes données Supabase. Que puis-je récupérer ?","Un agent IA a supprimé des données de votre base. Ce que vous pouvez récupérer était déjà décidé avant, et les prochaines minutes décident du reste.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1083,"title":1084,"description":1085,"published":1086,"category":554,"image":1087,"draft":558},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Qui peut lire votre base Supabase ? Nous avons testé 3 680 apps","N'importe qui peut-il lire votre base de données Supabase sans se connecter ? Nous avons scanné 30 998 apps en ligne créées avec des builders IA.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1089,"title":1090,"description":1091,"published":1086,"category":554,"image":1092,"draft":558},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source maps exposées : votre app publie son code original","Une source map exposée laisse n'importe qui lire le code original de votre app, commentaires compris. Le test de 30 secondes, et ce qui compte vraiment.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1094,"title":1095,"description":1096,"published":1097,"category":554,"image":1098,"draft":558},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key : la même chose que l'anon key ?","Supabase a remplacé anon et service_role par des clés publiables et secrètes. Laquelle a sa place dans votre app, et laquelle jamais ?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1100,"title":1101,"description":1102,"published":1103,"category":663,"image":1104,"draft":558},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase sauvegarde-t-il ma base de données ? Cela dépend du plan.","Supabase sauvegarde-t-il votre base de données ? Chaque jour sur les plans payants, jamais sur le gratuit. Comment savoir ce que vous avez vraiment.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1106,"title":1107,"description":1108,"published":1109,"category":554,"image":1110,"draft":558},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security est activé. La table reste publique.","Activer Supabase Row Level Security ne protège pas une table. Ce sont vos politiques, et celle qui a réparé votre app laisse peut-être entrer tout le monde.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1112,"title":1113,"description":1114,"published":1109,"category":663,"image":1115,"draft":558},"\u002Fblog\u002Fversion-history-is-not-a-backup","L'historique des versions n'est pas une sauvegarde de vos données.","Lovable et Bolt tiennent un historique des versions de votre code. Votre base de données est un service à part, et revenir en arrière ne la ramène pas.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1117,"title":1118,"description":1119,"published":1120,"category":663,"image":1121,"draft":558},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Trois façons de sauvegarder une base Supabase, et ce qui manque","Le tableau de bord, pg_dump et un service géré. Ce que chacun enregistre, ce qu'il laisse de côté sans le dire, et lequel survit à la perte du compte.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1123,"title":1124,"description":1125,"published":1120,"category":554,"image":1126,"draft":558},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quelles clés API sont sûres côté navigateur, et lesquelles non","Votre clé anon Supabase est faite pour être publique. Votre clé service_role non, et elle ignore toutes les règles que vous posez. Comment les distinguer.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213641883]