[{"data":1,"prerenderedAt":1193},["ShallowReactive",2],{"blog-fr-supabase-auth-redirects-to-localhost":3,"blog-index-fr":663},{"id":4,"title":5,"body":6,"category":620,"cover":621,"coverAlt":622,"description":623,"draft":624,"extension":625,"faq":626,"image":642,"keywords":643,"meta":651,"navigation":652,"ogTitle":653,"path":654,"published":655,"seo":656,"stem":657,"tldr":658,"updated":655,"__hash__":662},"blog_fr\u002Fblog\u002Fsupabase-auth-redirects-to-localhost.md","Pourquoi les liens e-mail de Supabase redirigent vers localhost:3000",{"type":7,"value":8,"toc":608},"minimark",[9,13,24,31,38,46,51,54,73,79,95,99,102,132,154,166,172,179,183,186,217,221,224,237,240,244,255,280,298,319,339,408,414,418,421,428,441,444,447,483,488,491,498,502,505,514,528,537,557,561,596],[10,11,12],"p",{},"Un nouvel utilisateur s'inscrit sur votre app en ligne, ouvre l'e-mail de\nconfirmation et appuie sur le bouton. Son navigateur ouvre une page qui dit\n\"This site can't be reached\" et \"localhost refused to connect\" (dans un Chrome\nen anglais), au-dessus d'une adresse qui commence ainsi :",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","http:\u002F\u002Flocalhost:3000\u002F#access_token=…&expires_at=…&expires_in=…&refresh_token=…&sb=&token_type=bearer&type=signup\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26,27,30],{},"Si votre app utilise le flux PKCE, elle se termine plutôt par ",[21,28,29],{},"?code=…",". Vous\navez construit l'app avec Lovable, Bolt, v0, Cursor, Claude Code ou Replit,\nelle tournait parfaitement en prévisualisation, et la connexion par mot de\npasse marche toujours.",[10,32,33,34,37],{},"Une redirection de Supabase vers localhost signifie que Supabase Auth, la\npartie de Supabase qui connecte les gens, a fini son travail puis a envoyé la\npersonne vers la Site URL de votre projet, qui indique toujours\n",[21,35,36],{},"http:\u002F\u002Flocalhost:3000",". Cette adresse veut dire \"cet ordinateur\". Sur\nl'ordinateur de votre utilisateur, il n'y a rien à cet endroit. La solution\ntient en deux réglages sur une page de votre tableau de bord Supabase.",[10,39,40,41,45],{},"Voici ce que les solutions rapides qui circulent en ligne font de travers :\n",[42,43,44],"strong",{},"le joker qui fait disparaître ce message en une ligne est aussi celui qui\npermet au lien d'un inconnu d'envoyer vos utilisateurs sur sa page, déjà\nconnectés."," Les réglages ci-dessous font marcher les liens et gardent cette\nporte fermée.",[47,48,50],"h2",{"id":49},"que-signifie-une-redirection-de-supabase-vers-localhost","Que signifie une redirection de Supabase vers localhost ?",[10,52,53],{},"Cela signifie que Supabase a envoyé la personne vers l'adresse par défaut de\nvotre projet, parce qu'il n'en a pas accepté de meilleure.",[10,55,56,57,64,65,68,69,72],{},"Chaque e-mail que Supabase envoie pour vous, confirmation d'inscription, magic\nlink, réinitialisation de mot de passe ou invitation, pointe d'abord vers\nl'adresse propre de votre projet. Le\n",[58,59,63],"a",{"href":60,"rel":61},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fauth-email-templates",[62],"nofollow","guide des modèles d'e-mail","\nde Supabase en donne la forme :\n",[21,66,67],{},"https:\u002F\u002Fproject-ref.supabase.co\u002Fauth\u002Fv1\u002Fverify?token=…&type=email&redirect_to=https:\u002F\u002Fexample.com\u002Fpath",".\nSupabase y vérifie le jeton, puis envoie le navigateur vers ce que nomme\n",[21,70,71],{},"redirect_to",".",[10,74,75,76,78],{},"Voyez cela comme un poteau indicateur à la porte de Supabase. Chaque personne\nqui ouvre un lien est connectée à la porte, puis envoyée plus loin, la clé à la\nmain, le long d'une des flèches. Les flèches, c'est vous qui les posez. La Site\nURL est la flèche que tout le monde prend quand aucune autre ne convient, et\nsur un nouveau projet elle pointe vers ",[21,77,36],{}," : l'atelier où\nl'app a été construite, qui sur la machine de n'importe qui d'autre est une\npièce vide.",[10,80,81,82,87,88,91,92,94],{},"Le\n",[58,83,86],{"href":84,"rel":85},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fredirect-urls",[62],"guide des redirections","\nde Supabase dit que la Site URL définit la redirection par défaut quand aucun\n",[21,89,90],{},"redirectTo"," n'est indiqué dans le code, vous demande de la changer de\n",[21,93,36],{}," vers votre adresse de production, et qualifie ce\nréglage de critique pour les confirmations par e-mail et les réinitialisations\nde mot de passe.",[47,96,98],{"id":97},"pourquoi-supabase-ignore-t-il-ladresse-demandée-par-mon-app","Pourquoi Supabase ignore-t-il l'adresse demandée par mon app ?",[10,100,101],{},"Parce que cette adresse n'est pas dans votre liste Redirect URLs, et que\nSupabase se rabat sur une autre sans vous le dire.",[10,103,104,105,108,109,112,113,116,117,108,119,112,122,125,126,131],{},"Votre app peut indiquer où les gens doivent arriver. Dans la bibliothèque\nJavaScript de Supabase, c'est ",[21,106,107],{},"emailRedirectTo"," pour ",[21,110,111],{},"signUp"," et\n",[21,114,115],{},"signInWithOtp",", et ",[21,118,90],{},[21,120,121],{},"resetPasswordForEmail",[21,123,124],{},"signInWithOAuth",". Supabase Auth décide ensuite dans\n",[58,127,130],{"href":128,"rel":129},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Futilities\u002Frequest.go",[62],"une courte fonction",",\ndans cet ordre :",[133,134,135,142,148],"ol",{},[136,137,138,141],"li",{},[42,139,140],{},"L'adresse demandée par votre app",", si elle correspond à une entrée de\nvotre liste Redirect URLs ou se trouve sur le même domaine que votre Site\nURL.",[136,143,144,147],{},[42,145,146],{},"L'adresse de la page d'où venait la requête",", telle que le navigateur\nl'a transmise, selon la même règle.",[136,149,150,153],{},[42,151,152],{},"Sinon, la Site URL."," Supabase ne signale aucune erreur, et la console de\nvotre app n'affiche rien.",[10,155,156,157,162,163,165],{},"Il prend cette décision à l'envoi de l'e-mail, et l'adresse choisie entre dans\nle lien. Quand quelqu'un ouvre le lien, Supabase vérifie de nouveau cette\nadresse avec vos réglages tels qu'ils sont à ce moment-là. La propre\n",[58,158,161],{"href":159,"rel":160},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Ftroubleshooting\u002Fwhy-am-i-being-redirected-to-the-wrong-url-when-using-auth-redirectto-option-_vqIeO",[62],"réponse de dépannage","\nde Supabase résume la règle en une phrase : pour que l'option ",[21,164,90],{},"\nfonctionne, il faut inscrire l'URL exacte dans le réglage Redirect URLs.",[167,168],"diagram",{"alt":169,"caption":170,"src":171},"Un lien d'e-mail arrive à un poteau indicateur à trois flèches. Les deux premières, pour l'adresse demandée par l'app et pour la page d'où venait la requête, sont chacune vérifiées contre une liste et barrées. La troisième flèche, la Site URL, mène la personne à un ordinateur portable à l'écran éteint, marqué d'une croix rouge.","Supabase essaie l'adresse demandée par votre app, puis la page d'où venait la requête. Quand aucune n'est dans votre liste, c'est la Site URL qui décide.","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fthree-tries-1600x760.png",[10,173,174,175,72],{},"Le même réglage décide où \"Sign in with Google\" renvoie les gens, donc un\nbouton Google qui atterrit sur localhost a la même cause. Un bouton Google qui\ns'arrête plus tôt, sur une page qui affiche \"Unsupported provider: provider is\nnot enabled\", relève plutôt\n",[58,176,178],{"href":177},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","d'un interrupteur dans Supabase et d'une liste chez Google",[47,180,182],{"id":181},"pourquoi-vous-ne-lavez-pas-vu-avant-le-lancement","Pourquoi vous ne l'avez pas vu avant le lancement",[10,184,185],{},"Parce que les deux façons dont vous avez testé n'atteignent jamais la Site URL.",[187,188,189,195,201],"ul",{},[136,190,191,194],{},[42,192,193],{},"La connexion par mot de passe se fait à l'intérieur de la page."," Pas de\nlien d'e-mail ni de passage par la porte de Supabase, donc le poteau n'est\njamais lu.",[136,196,197,200],{},[42,198,199],{},"Si vous construisez avec Cursor ou Claude Code et que votre serveur de\ndéveloppement tournait sur le port 3000"," quand vous avez testé l'e-mail, le\nlien a ouvert votre propre copie locale et a eu l'air de marcher.",[136,202,203,206,207,212,213,216],{},[42,204,205],{},"Sur le backend intégré de Lovable, vous ne le rencontrerez peut-être\njamais."," La\n",[58,208,211],{"href":209,"rel":210},"https:\u002F\u002Fdocs.lovable.dev\u002Ffeatures\u002Fauthentication",[62],"documentation sur l'authentification","\nde Lovable dit qu'il règle la Site URL sur votre adresse ",[21,214,215],{},"lovable.app","\npubliée quand vous publiez, et qu'il ajoute un domaine personnalisé aux\nredirect URLs quand vous le connectez. La même page dit que les apps qui\nutilisent votre propre projet Supabase ne reçoivent aucune mise à jour\nautomatique.",[47,218,220],{"id":219},"le-compte-est-il-confirmé-même-si-la-page-na-pas-chargé","Le compte est-il confirmé même si la page n'a pas chargé ?",[10,222,223],{},"Oui, pour une confirmation d'inscription. Supabase confirme d'abord et n'envoie\nle navigateur plus loin qu'ensuite.",[10,225,226,227,232,233,72],{},"Dans\n",[58,228,231],{"href":229,"rel":230},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Fverify.go",[62],"le code qui traite le lien",",\nle compte est confirmé avant que la redirection parte. La page qui ne charge\npas arrive une fois le travail fait. Dites donc à la personne qu'elle peut se\nconnecter sur votre site en ligne avec le mot de passe qu'elle a choisi.\nRecliquer sur le même e-mail n'aidera pas : le lien marche une fois, et le\ndeuxième clic répond\n",[58,234,236],{"href":235},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","\"Email link is invalid or has expired\"",[10,238,239],{},"Un magic link ou une réinitialisation de mot de passe, c'est différent. Cette\nconnexion est partie vers localhost et y est restée, donc une fois vos réglages\ncorrigés, la personne a besoin d'un nouvel e-mail.",[47,241,243],{"id":242},"comment-corriger-la-redirection-de-supabase-vers-localhost","Comment corriger la redirection de Supabase vers localhost",[10,245,246,247,250,251,254],{},"Changez la Site URL, puis listez les autres adresses vers lesquelles vous\nenvoyez les gens. Les deux se trouvent sur la page ",[42,248,249],{},"URL Configuration",", sous\n",[42,252,253],{},"Authentication",", dans votre tableau de bord Supabase.",[10,256,257,264,267,268,270,271,275,276,279],{},[42,258,259,260,263],{},"Réglez la Site URL sur votre adresse en ligne, avec ",[21,261,262],{},"https:\u002F\u002F"," devant.",[21,265,266],{},"https:\u002F\u002Fyourapp.com",", écrite en entier. Sans le ",[21,269,262],{},", Supabase la lit\ncomme un chemin sur sa propre adresse, et la personne atterrit sur votre projet\nSupabase avec ",[58,272,274],{"href":273},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\"","\nà la place. Toute adresse de ce domaine est ensuite acceptée à n'importe quel\nchemin sans entrée dans la liste, donc ",[21,277,278],{},"https:\u002F\u002Fyourapp.com\u002Fwelcome"," marche dès\nque la Site URL est juste.",[10,281,282,285,286,289,290,293,294,297],{},[42,283,284],{},"Ajoutez les autres adresses dans Redirect URLs."," La version avec ",[21,287,288],{},"www"," si\nles gens l'utilisent, l'adresse publiée chez le builder\n(",[21,291,292],{},"https:\u002F\u002Fyourapp.lovable.app",", par exemple) si les gens s'y inscrivent, et\nrien d'autre. Une entrée est un motif, donc ",[21,295,296],{},"https:\u002F\u002Fyourapp.com\u002F**"," couvre\nchaque page de ce seul domaine.",[10,299,300,303,304,307,308,310,311,314,315,318],{},[42,301,302],{},"Vérifiez ce que demande votre code."," S'il transmet ",[21,305,306],{},"window.location.origin",",\nl'adresse est celle sur laquelle la page a été ouverte, et chaque adresse que\ncela peut produire doit se trouver sur le domaine de votre Site URL ou dans la\nliste. Comparez-les lettre pour lettre : avec ",[21,309,288],{}," ou sans, avec ",[21,312,313],{},"https"," ou\nsans. Une entrée sans ",[21,316,317],{},"\u002F**"," à la fin correspond à cette adresse exacte et à\nrien en dessous.",[10,320,321,324,325,328,329,331,332,334,335,338],{},[42,322,323],{},"Vérifiez vos modèles d'e-mail."," Un modèle qui construit son propre lien avec\n",[21,326,327],{},"{{ .SiteURL }}"," envoie tout le monde vers la Site URL, quoi que votre app ait\ndemandé. Le guide des redirections de Supabase dit qu'en utilisant l'option\n",[21,330,90],{},", vous devrez peut-être remplacer ",[21,333,327],{}," par\n",[21,336,337],{},"{{ .RedirectTo }}"," dans vos modèles d'e-mail.",[340,341,342,355],"table",{},[343,344,345],"thead",{},[346,347,348,352],"tr",{},[349,350,351],"th",{},"Ce que vous voyez",[349,353,354],{},"Ce qu'il faut changer",[356,357,358,370,378,386,397],"tbody",{},[346,359,360,367],{},[361,362,363,364],"td",{},"Chaque lien ouvre ",[21,365,366],{},"localhost:3000",[361,368,369],{},"La Site URL",[346,371,372,375],{},[361,373,374],{},"Les liens ouvrent votre Site URL au lieu de l'adresse demandée par votre code",[361,376,377],{},"Ajoutez cette adresse dans Redirect URLs, lettre pour lettre",[346,379,380,383],{},[361,381,382],{},"Le domaine en ligne marche et l'adresse publiée chez le builder non",[361,384,385],{},"Ajoutez l'adresse publiée dans Redirect URLs",[346,387,388,391],{},[361,389,390],{},"Un lien ouvre votre adresse Supabase avec \"No API key found in request\"",[361,392,393,394,396],{},"Ajoutez ",[21,395,262],{}," à la Site URL",[346,398,399,402],{},[361,400,401],{},"L'adresse demandée par votre app est dans la liste et le lien l'ignore quand même",[361,403,404,405,407],{},"Le ",[21,406,327],{}," du modèle d'e-mail",[10,409,410,411,413],{},"Inscrivez-vous ensuite de nouveau avec une adresse que vous n'avez pas encore\nutilisée. Un e-mail envoyé avant la correction avec le lien standard de\nSupabase, et ouvert dans son heure, arrive maintenant sur votre site en ligne,\nparce que Supabase revérifie l'adresse à l'ouverture du lien. Cela tient tant\nque ",[21,412,36],{}," ne figure plus dans votre liste.",[47,415,417],{"id":416},"quelles-redirect-urls-peut-on-autoriser-sans-risque","Quelles Redirect URLs peut-on autoriser sans risque ?",[10,419,420],{},"Les adresses exactes qui vous appartiennent. Un joker a sa place pour les\ndéploiements de prévisualisation, et seulement limité à votre propre équipe ou\nprojet.",[10,422,423,424,427],{},"Le guide des redirections de Supabase le dit nettement : le \"globstar\" (",[21,425,426],{},"**",")\nest utile pour le développement local et les adresses de prévisualisation, mais\nen production il recommande de fixer le chemin de redirection exact de votre\nSite URL.",[10,429,430,431,436,437,440],{},"La raison, c'est ce qui voyage avec la personne. Dans le flux par défaut,\nSupabase écrit la nouvelle session dans l'adresse vers laquelle il l'envoie :\n",[58,432,435],{"href":433,"rel":434},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Ftokens\u002Fservice.go",[62],"le code qui la construit","\najoute ",[21,438,439],{},"#access_token=…&refresh_token=…"," à l'adresse de redirection. N'importe\nquelle page à cette adresse peut lire ces deux valeurs, et avec elles elle est\ncet utilisateur. Sur le poteau, c'est la flèche qui décide qui reçoit la clé.",[10,442,443],{},"Une entrée qui couvre une adresse contrôlée par quelqu'un d'autre est donc une\nporte d'entrée vers les comptes de vos utilisateurs. N'importe qui peut\ndemander à votre projet d'envoyer par e-mail un lien de connexion à l'un de vos\nutilisateurs, avec la clé publique qui se trouve dans votre app à dessein, et\nindiquer sa propre page comme destination. L'e-mail qui arrive vient vraiment de\nvotre app. Le flux PKCE n'y change rien, parce que la personne qui a écrit ce\nlien a lancé la connexion, et PKCE remet la session à celui qui l'a lancée.",[10,445,446],{},"Les motifs qui couvrent des adresses que d'autres peuvent créer :",[187,448,449,457,468],{},[136,450,451,456],{},[42,452,453,455],{},[21,454,426],{}," tout seul"," couvre toutes les adresses qui existent.",[136,458,459,464,465,72],{},[42,460,461],{},[21,462,463],{},"https:\u002F\u002F*.vercel.app\u002F**"," couvre tous les déploiements Vercel\nd'internet, et n'importe qui peut en créer un. L'exemple de Supabase lui-même\nporte votre équipe : ",[21,466,467],{},"https:\u002F\u002F*-\u003Cteam-or-account-slug>.vercel.app\u002F**",[136,469,470,479,480,72],{},[42,471,472,475,476],{},[21,473,474],{},"https:\u002F\u002F*.lovable.app\u002F**",", ",[21,477,478],{},"https:\u002F\u002F*.netlify.app\u002F**"," et la même forme\nsur le domaine de n'importe quel builder font la même chose pour ce builder.\nL'exemple de Supabase pour Netlify est limité lui aussi :\n",[21,481,482],{},"https:\u002F\u002F**--my_org.netlify.app\u002F**",[167,484],{"alt":485,"caption":486,"src":487},"Deux poteaux indicateurs. À gauche la liste contient une adresse exacte, un lien fabriqué qui pointe ailleurs est refusé, et la personne arrive à sa propre maison avec la clé. À droite la liste contient un joker, le lien fabriqué est accepté, et la clé part vers une autre maison au contour rouge.","Une entrée exacte renvoie un lien fabriqué à la maison. Un joker qui couvre les apps des autres le laisse leur livrer la connexion.","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fwho-gets-the-key-1600x760.png",[10,489,490],{},"Si vous venez de régler cela en collant un joker, revoyez la liste dès\naujourd'hui.",[10,492,493,494,72],{},"Le lancement est aussi le moment où l'on regarde les autres réglages qui ne\ncomptent qu'en production. Notre scan gratuit lit votre app en ligne depuis\nl'extérieur et signale ce qu'un inconnu peut atteindre : des tables qui\nrépondent à n'importe qui, des clés secrètes dans le code que votre app envoie,\ndes en-têtes manquants, le certificat. Il prend environ 20 secondes et ne\ndemande aucun compte : ",[58,495,497],{"href":496},"\u002Fsecurity-scanner","scannez votre app",[47,499,501],{"id":500},"garder-un-œil-sur-lapp-en-ligne-après-le-lancement","Garder un œil sur l'app en ligne après le lancement",[10,503,504],{},"Ce réglage se corrige une fois. Ce que votre app envoie aux visiteurs change à\nchaque déploiement, et cette partie peut se surveiller depuis l'extérieur.",[10,506,507],{},[42,508,509,513],{},[58,510,512],{"href":511},"\u002Fwebsite-monitoring","Reeve Monitor"," continue de vérifier votre app en ligne :",[187,515,516,519,522,525],{},[136,517,518],{},"si elle répond, toutes les 60 secondes, pour distinguer \"le lien ne marche pas\" de \"le site est en panne\"",[136,520,521],{},"les neuf vérifications toutes les heures, sur jusqu'à trois apps, y compris les clés secrètes dans le code que votre app envoie aux visiteurs",[136,523,524],{},"un message quand un résultat change, pour qu'un problème parti avec un déploiement ultérieur vous parvienne sans que vous alliez voir",[136,526,527],{},"un rapport mensuel, en langage clair, de ce qu'il a vu",[10,529,530],{},[42,531,532,536],{},[58,533,535],{"href":534},"\u002Fsupabase-backups","Reeve Care"," garde une copie de votre base de données\nSupabase, comptes compris :",[187,538,539,542,545,548,551,554],{},[136,540,541],{},"une copie chiffrée selon un calendrier, sur le stockage propre de Reeve dans l'UE, en dehors de votre compte Supabase",[136,543,544],{},"le schéma auth où vivent les comptes de vos utilisateurs, pour qu'ils reviennent avec tout le reste",[136,546,547],{},"chaque copie vérifiée avant de compter, en comptant les lignes de chaque table",[136,549,550],{},"vos fichiers envoyés aussi, dès que vous connectez un accès Storage",[136,552,553],{},"une restauration en un clic, avec une copie de sécurité de l'état actuel prise d'abord",[136,555,556],{},"tout ce que fait Monitor",[47,558,560],{"id":559},"que-faire-maintenant","Que faire maintenant",[562,563,564],"key-takeaways",{},[187,565,566,572,578,590,593],{},[136,567,568,569,571],{},"Réglez la Site URL de la page URL Configuration sur votre adresse en ligne, ",[21,570,262],{}," compris.",[136,573,574,575,577],{},"Ajoutez dans Redirect URLs les autres adresses exactes vers lesquelles vous envoyez les gens, comme la version avec ",[21,576,288],{}," et l'adresse publiée chez le builder.",[136,579,580,581,583,584,586,587,589],{},"Vérifiez que chaque adresse que votre code transmet comme ",[21,582,107],{}," ou ",[21,585,90],{}," est dans la liste, et utilisez ",[21,588,337],{}," dans les modèles qui doivent la suivre.",[136,591,592],{},"Dites à quiconque a vu la page localhost après son inscription que son compte est confirmé. Les magic links et les réinitialisations de mot de passe demandent un nouvel e-mail.",[136,594,595],{},"Réservez les jokers aux prévisualisations de votre équipe, et n'autorisez jamais toutes les apps du domaine d'un builder.",[10,597,598,599,602,603,607],{},"Si les gens cliquent sur le nouveau lien et s'entendent dire qu'il a expiré,\n",[58,600,601],{"href":235},"ce message a sa propre page",". La\n",[58,604,606],{"href":605},"\u002Fchecklist","checklist de sécurité en 10 minutes"," couvre ce qui reste souvent\nouvert dans une app qui vient d'être lancée.",{"title":23,"searchDepth":609,"depth":609,"links":610},3,[611,613,614,615,616,617,618,619],{"id":49,"depth":612,"text":50},2,{"id":97,"depth":612,"text":98},{"id":181,"depth":612,"text":182},{"id":219,"depth":612,"text":220},{"id":242,"depth":612,"text":243},{"id":416,"depth":612,"text":417},{"id":500,"depth":612,"text":501},{"id":559,"depth":612,"text":560},"Bases de la sécurité","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcover-1200x630.png","Un poteau indicateur dont la flèche allumée pointe loin de la maison où elle devrait mener, vers un ordinateur portable à l'écran éteint.","Si Supabase redirige vers localhost:3000, la Site URL n'a jamais été changée ou votre adresse manque dans Redirect URLs. La solution, et le joker à éviter.",false,"md",[627,630,633,636,639],{"q":628,"a":629},"Pourquoi mon e-mail de confirmation Supabase ouvre-t-il localhost:3000 ?","Parce que Supabase a envoyé la personne vers la Site URL de votre projet, et que la Site URL indique toujours http:\u002F\u002Flocalhost:3000. Supabase l'utilise chaque fois que l'adresse demandée par votre app manque dans la liste Redirect URLs, ou que votre app n'en a demandé aucune. Changez-la sur la page URL Configuration, sous Authentication.",{"q":631,"a":632},"Le compte est-il confirmé si le lien a ouvert localhost ?","Oui, pour une confirmation d'inscription. Supabase confirme d'abord l'adresse et n'envoie le navigateur plus loin qu'ensuite, donc la page qui échoue arrive une fois le travail fait. La personne peut se connecter sur votre site en ligne avec le mot de passe qu'elle a choisi. Un magic link ou une réinitialisation de mot de passe doit être renvoyé.",{"q":634,"a":635},"J'ai ajouté mon site dans Redirect URLs et ça part toujours vers localhost. Pourquoi ?","L'entrée doit correspondre lettre pour lettre à l'adresse proposée à Supabase : avec www ou sans, avec https ou sans, et le chemin, car une entrée sans \u002F** à la fin ne correspond qu'à cette adresse précise. Si elles correspondent et que le lien l'ignore encore, votre modèle d'e-mail construit son lien avec {{ .SiteURL }}. Et corrigez la Site URL elle-même, puisque c'est vers elle que tout le reste se rabat.",{"q":637,"a":638},"Dois-je ajouter ma Site URL dans la liste Redirect URLs ?","Non. Supabase accepte toute adresse sur le domaine même de la Site URL sans entrée dans la liste, à n'importe quel chemin. La liste sert aux autres adresses : une version avec www, l'adresse publiée chez le builder, les déploiements de prévisualisation.",{"q":640,"a":641},"Puis-je utiliser un joker dans les Redirect URLs de Supabase ?","Pour les prévisualisations, limité à votre propre équipe ou projet, comme dans les exemples de Supabase. Jamais un joker qui couvre des adresses que d'autres peuvent créer, comme toutes les apps sur vercel.app ou lovable.app. Supabase recommande l'adresse exacte de votre site en production.","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",[644,645,646,647,648,649,650],"supabase redirect to localhost","supabase redirige vers localhost","supabase magic link localhost 3000","supabase site url","supabase redirect urls","e-mail de confirmation supabase mauvaise url","supabase redirect url joker",{},true,"Les liens e-mail de Supabase redirigent vers localhost:3000","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","2026-11-02",{"title":5,"description":623},"blog\u002Fsupabase-auth-redirects-to-localhost",[659,660,661],"Une redirection de Supabase vers localhost:3000 vient de la Site URL de la page URL Configuration. Un projet démarre avec http:\u002F\u002Flocalhost:3000, et chaque lien d'e-mail y revient quand l'adresse demandée par votre app n'est pas dans la liste Redirect URLs.","La personne qui a cliqué sur un lien d'inscription est le plus souvent déjà confirmée. Supabase confirme le compte avant de l'envoyer plus loin, elle peut donc se connecter sur votre vrai site.","Réglez la Site URL sur votre adresse en ligne et listez les adresses exactes que vous utilisez. Un joker assez large pour couvrir l'app de quelqu'un d'autre permet à un lien fabriqué d'y envoyer vos utilisateurs, déjà connectés.","09YBVVyOfyCNEq7r6uI1HsNft0jMSP4vA8cl21kw_a8",[664,670,675,681,687,693,699,705,706,711,717,724,730,736,742,748,754,760,766,772,778,784,790,796,802,808,814,820,826,832,838,844,850,856,861,867,873,879,885,891,897,903,909,915,921,927,932,938,944,950,956,962,968,974,980,986,992,998,1004,1010,1016,1022,1028,1034,1040,1046,1052,1058,1064,1070,1076,1082,1088,1094,1100,1106,1112,1118,1124,1130,1136,1142,1148,1154,1159,1165,1171,1177,1182,1188],{"path":665,"title":666,"description":667,"published":668,"category":620,"image":669,"draft":624},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\" expliqué","Supabase \"max client connections reached\" : le pooler n'a plus de place pour un client de plus. Le port de votre chaîne de connexion fixe la limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":177,"title":671,"description":672,"published":673,"category":620,"image":674,"draft":624},"Erreur Supabase : \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\" : la connexion Google est désactivée dans votre projet Supabase. Comment l'activer, et redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":676,"title":677,"description":678,"published":679,"category":620,"image":680,"draft":624},"\u002Fblog\u002Fviolates-foreign-key-constraint","Erreur Supabase \"violates foreign key constraint\" à l'insertion","Supabase \"insert or update on table violates foreign key constraint\" : votre ligne pointe vers une ligne absente. Laquelle, pourquoi, et la solution.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":682,"title":683,"description":684,"published":685,"category":620,"image":686,"draft":624},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Erreur Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\" : une colonne obligatoire est arrivée vide. D'où vient le null, et la solution.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":688,"title":689,"description":690,"published":691,"category":620,"image":692,"draft":624},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\" : où est passée la session","\"Auth session missing!\" : supabase-js n'a trouvé aucune session connectée et n'a même pas interrogé Supabase. Où est passée la session, et la solution.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":694,"title":695,"description":696,"published":697,"category":620,"image":698,"draft":624},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\" : personne de connecté","\"invalid claim: missing sub claim\" : Supabase Auth a reçu un vrai jeton qui ne nomme personne, la clé du projet à la place d'une session.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":700,"title":701,"description":702,"published":703,"category":620,"image":704,"draft":624},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\" : la vraie cause","\"Failed to send a request to the Edge Function\" : le navigateur n'a reçu aucune réponse lisible. Sa console dit pourquoi, et si votre fonction a tourné.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":654,"title":5,"description":623,"published":655,"category":620,"image":642,"draft":624},{"path":235,"title":707,"description":708,"published":709,"category":620,"image":710,"draft":624},"Supabase \"Email link is invalid or has expired\" sur un lien neuf","Sur un lien envoyé il y a une minute, \"Email link is invalid or has expired\" de Supabase signifie souvent qu'un filtre de messagerie l'a utilisé avant.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":712,"title":713,"description":714,"published":715,"category":620,"image":716,"draft":624},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\" expliqué","Supabase \"canceling statement due to statement timeout\" : une requête a dépassé la limite de son rôle, 3 secondes pour un visiteur. Vérifiez la règle RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":718,"title":719,"description":720,"published":721,"category":722,"image":723,"draft":624},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" sur Supabase, et ce qui part avec","\"Database error deleting user\" sur Supabase : votre base a refusé la suppression. La cause est dans vos logs, et la solution décide de ce qui part avec.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":725,"title":726,"description":727,"published":728,"category":620,"image":729,"draft":624},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" sur Supabase","Un webhook Stripe dans une Edge Function Supabase affiche \"No signatures found matching the expected signature\" ? Deux causes. Gardez la vérification.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":731,"title":732,"description":733,"published":734,"category":620,"image":735,"draft":624},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" dans Supabase : les trois causes","Supabase répond \"Invalid login credentials\" à un mauvais mot de passe, un e-mail inconnu et un compte Google. Comment savoir lequel.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":737,"title":738,"description":739,"published":740,"category":620,"image":741,"draft":624},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\" : la vraie erreur","\"Edge Function returned a non-2xx status code\" signifie que votre fonction Supabase a répondu par une erreur. Voici où lire la vraie.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":743,"title":744,"description":745,"published":746,"category":620,"image":747,"draft":624},"\u002Fblog\u002Fcertificate-not-trusted","Certificat non approuvé : trois causes autres que l’expiration","Certificat non approuvé alors que la date est bonne ? Il nomme une autre adresse, il s’est signé lui-même ou il manque un maillon à sa chaîne.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":749,"title":750,"description":751,"published":752,"category":620,"image":753,"draft":624},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\" : lisez les guillemets","Supabase \"invalid input syntax for type uuid\" : votre app a envoyé autre chose qu'un id. Lisez les guillemets, retenez la requête, gardez la colonne.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":755,"title":756,"description":757,"published":758,"category":620,"image":759,"draft":624},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\" expliqué","Supabase \"duplicate key value violates unique constraint\" : la valeur est déjà prise. Trouver la colonne, choisir un correctif, garder la valeur hors écran.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":761,"title":762,"description":763,"published":764,"category":620,"image":765,"draft":624},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" alors que la table existe","Supabase \"relation does not exist\" ou PGRST205 : aucune table ne porte ce nom dans ce schéma. Quatre vérifications, et ce qu'ouvre un schéma exposé.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":767,"title":768,"description":769,"published":770,"category":620,"image":771,"draft":624},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" cite les noms d'arguments envoyés par votre application. Comparez-les à la fonction.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":773,"title":774,"description":775,"published":776,"category":620,"image":777,"draft":624},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" vient le plus souvent du nom. Quatre vérifications, et la ligne qui recharge le cache.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":779,"title":780,"description":781,"published":782,"category":620,"image":783,"draft":624},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\" : deux limites, un code","Supabase \"Email Rate Limit Exceeded\" plafonne chaque e-mail de votre projet : 2 par heure avec l'expéditeur intégré. Ce qui compte, et comment le relever.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":785,"title":786,"description":787,"published":788,"category":620,"image":789,"draft":624},"\u002Fblog\u002Fsupabase-users-logged-out","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" : 3 causes","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" déconnecte vos utilisateurs. Trois causes, et comment le log Auth les distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":791,"title":792,"description":793,"published":794,"category":620,"image":795,"draft":624},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\" : trois causes","Supabase \"permission denied for schema public\" signale un grant manquant sur le schéma. Ce qui l'a retiré, et la ligne qui le remet.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":797,"title":798,"description":799,"published":800,"category":620,"image":801,"draft":624},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\" : les trois choses que cela veut dire","Supabase \"Bucket not found\", c'est une de trois choses : un lien public vers un bucket privé, un nom pas tout à fait exact, ou le mauvais projet.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":803,"title":804,"description":805,"published":806,"category":620,"image":807,"draft":624},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT : quelle clé a cessé de marcher ?","Une erreur Supabase invalid JWT, c'est PGRST301 : un jeton signé n'a pas passé la vérification. Sur un projet récent, c'est la session, pas la clé API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":809,"title":810,"description":811,"published":812,"category":620,"image":813,"draft":624},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" veut dire zéro ligne","Supabase renvoie PGRST116, \"JSON object requested, multiple (or no) rows returned\", quand la requête n'a rien trouvé. Une ligne cachée semble absente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":815,"title":816,"description":817,"published":818,"category":620,"image":819,"draft":624},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" sur Supabase : où regarder","\"Database error saving new user\" veut dire que quelque chose rattaché à votre inscription Supabase a échoué. La vraie erreur est dans vos logs.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":821,"title":822,"description":823,"published":824,"category":620,"image":825,"draft":624},"\u002Fblog\u002Fwhat-is-supabase","Qu'est-ce que Supabase ? La base que votre builder a choisie","Qu'est-ce que Supabase : la base de données, la connexion et le stockage de fichiers de votre app. Les règles sur qui lit vos lignes sont à vous.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":827,"title":828,"description":829,"published":830,"category":620,"image":831,"draft":624},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Une clé AWS exposée dans le frontend n'est pas une clé OpenAI","Une clé d'accès AWS exposée dans votre frontend lit et écrit votre stockage. La solution est en général une presigned URL, pas une nouvelle clé.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":833,"title":834,"description":835,"published":836,"category":620,"image":837,"draft":624},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" à l'upload","\"New row violates row-level security policy for table objects\" signifie que votre upload n'a pas de règle insert. Rendre le bucket public n'en ajoute aucune.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":839,"title":840,"description":841,"published":842,"category":620,"image":843,"draft":624},"\u002Fblog\u002Fbase44-security-scan","Scan de sécurité Base44 : ce que lui seul peut voir","Le scan de sécurité Base44 vérifie sept types de problèmes depuis l’intérieur. Voici la moitié que lui seul lit, et celle qu’il ne regarde jamais.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":845,"title":846,"description":847,"published":848,"category":620,"image":849,"draft":624},"\u002Fblog\u002Fapi-key-leaked-what-to-do","Votre clé API a fuité. L'ordre dans lequel agir","Une clé API a fuité et vous ne savez pas par quoi commencer. Toutes les clés de votre frontend n'en sont pas une, et l'ordre compte plus que la vitesse.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":851,"title":852,"description":853,"published":854,"category":620,"image":855,"draft":624},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" sans désactiver RLS","\"Infinite recursion detected in policy for relation\" signifie que votre policy a interrogé la table qu'elle protège. Voici comment rompre le cercle.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":273,"title":857,"description":858,"published":859,"category":620,"image":860,"draft":624},"\"No API key found in request\" sur Supabase, et le mauvais correctif","\"No API key found in request\" veut dire que votre requête est arrivée sans clé. La plupart des réponses pointent vers les règles de votre base.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":862,"title":863,"description":864,"published":865,"category":620,"image":866,"draft":624},"\u002Fblog\u002Fis-base44-safe","Base44 est-il sûr ? Ce que 5 442 applications ont montré","Base44 est-il sûr ? Neuf vérifications sur 5 442 applications Base44 en ligne. Presque toutes ont eu un B, pour des raisons que personne n’a choisies.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":868,"title":869,"description":870,"published":871,"category":620,"image":872,"draft":624},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","Cacher une clé API : la déplacer dans une Edge Function Supabase","Cacher une clé API veut dire la sortir du navigateur, et une Edge Function Supabase est le plus petit endroit où la mettre. Deux étapes comptent davantage.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":874,"title":875,"description":876,"published":877,"category":620,"image":878,"draft":624},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Votre fichier .env est-il exposé ? Les douze chemins à vérifier","Votre fichier .env est-il exposé sur votre propre serveur web ? Douze adresses vous le disent, et une réponse signifie que tout son contenu est public.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":880,"title":881,"description":882,"published":883,"category":620,"image":884,"draft":624},"\u002Fblog\u002Fis-v0-safe","Sécurité de v0 : les 1 790 applications scannées ont toutes eu A","La sécurité de v0 mesurée sur 1 790 applications en ligne : toutes ont eu A. Seules 17 citaient une base de données, et c’est surtout cela que ce A mesure.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":886,"title":887,"description":888,"published":889,"category":620,"image":890,"draft":624},"\u002Fblog\u002Fis-bolt-safe","Bolt est-il sûr ? Ce que 1 123 applications Bolt ont montré","Bolt est-il sûr ? Neuf vérifications sur 1 123 applications Bolt en ligne. L’hébergement était propre. Les trouvailles : des clés et des tables ouvertes.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":892,"title":893,"description":894,"published":895,"category":620,"image":896,"draft":624},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase en panne, ou est-ce votre app ? Comment le savoir","Supabase est-il en panne, ou est-ce votre app ? Un projet en pause, une base pleine et un bug chez vous se ressemblent. Quatre vérifications les séparent.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":898,"title":899,"description":900,"published":901,"category":620,"image":902,"draft":624},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase chiffre-t-il mes données ? Oui. Ce que cela arrête","Supabase chiffre-t-il les données ? Oui : AES-256 au repos, TLS en transit, SOC 2 et ISO 27001. Ce que couvre chacun, et la fuite qu'aucun n'arrête.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":904,"title":905,"description":906,"published":907,"category":620,"image":908,"draft":624},"\u002Fblog\u002Fsupabase-free-plan-limits","Limites du plan gratuit Supabase : ce qui se passe à chacune","Les limites du plan gratuit Supabase : 500 Mo de base, 5 Go d'egress, aucune sauvegarde. Ce qui se passe à chaque seuil, et ce que change Pro à $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":910,"title":911,"description":912,"published":913,"category":722,"image":914,"draft":624},"\u002Fblog\u002Ftest-your-supabase-backup","Testez votre sauvegarde Supabase avant d'en avoir besoin","Comment tester votre sauvegarde Supabase : la restaurer dans un projet d'exercice, compter les lignes, se connecter, chercher la ligne qui manque.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":916,"title":917,"description":918,"published":919,"category":722,"image":920,"draft":624},"\u002Fblog\u002Fsupabase-backup-github-action","Sauvegarde Supabase gratuite avec une GitHub Action, et le piège","Une sauvegarde Supabase par GitHub Action est gratuite et convient à beaucoup d'apps. Le workflow, la bonne connection string et l'egress de chaque run.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":922,"title":923,"description":924,"published":925,"category":722,"image":926,"draft":624},"\u002Fblog\u002Fdownload-your-supabase-backup","Pourquoi vous ne pouvez pas télécharger votre sauvegarde Supabase","Impossible de télécharger votre sauvegarde Supabase sur un projet récent : la copie quotidienne est physique. Comment le vérifier et garder la vôtre.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":928,"title":929,"description":930,"published":925,"category":620,"image":931,"draft":624},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\" : le grant manquant","Dès le 30 octobre, une nouvelle table Supabase répond \"permission denied for table\" tant que l'accès n'est pas accordé. Le grant de l'e-mail est la moitié.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":933,"title":934,"description":935,"published":936,"category":620,"image":937,"draft":624},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint d'API ouvert est-il un problème de sécurité ?","Votre scan a signalé un endpoint d'API ouvert. Que cela compte dépend de ce qui est revenu, et la plupart de ceux trouvés étaient à la plateforme.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":939,"title":940,"description":941,"published":942,"category":620,"image":943,"draft":624},"\u002Fblog\u002Flovable-security-scan","Scan de sécurité Lovable : ce qu’il ne peut pas prouver","Scan de sécurité Lovable : ce que vérifient le Quick scan et le Deep scan, quand chacun part, et la seule chose qu’un scan de l’intérieur ne prouve pas.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":945,"title":946,"description":947,"published":948,"category":722,"image":949,"draft":624},"\u002Fblog\u002Fsupabase-backup-auth-users","Pourquoi votre dump Supabase ne contient aucun utilisateur","Lancez supabase db dump tout seul et vous obtenez la forme de votre base et aucune de ses lignes, sans le schéma auth où vivent vos utilisateurs.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":951,"title":952,"description":953,"published":954,"category":620,"image":955,"draft":624},"\u002Fblog\u002Fdomain-and-certificate-expiry","Domaine expiré, site hors ligne : ce qui se passe ensuite","Votre domaine a expiré et votre site est hors ligne. Le compte à rebours qui démarre, pourquoi le certificat est le moindre souci, et comment vérifier les deux.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":957,"title":958,"description":959,"published":960,"category":620,"image":961,"draft":624},"\u002Fblog\u002Fis-lovable-safe","Lovable est-il sûr ? Ce que 18 554 applications Lovable ont montré","Lovable est-il sûr ? 18 554 applications, neuf vérifications. La plateforme était la plus propre des cinq. Les trouvailles étaient dans les applications.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":963,"title":964,"description":965,"published":966,"category":620,"image":967,"draft":624},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist de sécurité du vibe coding, en neuf vérifications","Une checklist de sécurité du vibe coding en neuf points, chacun vérifiable de l’extérieur sur votre appli en ligne, et chacun avec un test d’une ligne.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":969,"title":970,"description":971,"published":972,"category":620,"image":973,"draft":624},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Une clé secrète Stripe dans votre frontend peut déplacer de l’argent","Une clé secrète Stripe exposée dans votre frontend peut rembourser, débiter et lire chaque fiche client que vous détenez. Votre clé pk_live_ y a sa place.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":975,"title":976,"description":977,"published":978,"category":620,"image":979,"draft":624},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variables d’environnement Vite exposées : le préfixe dit publier","Variables d’environnement Vite exposées : votre appli a fait ce que le préfixe demandait. VITE_ et NEXT_PUBLIC_ veulent dire publier, et l’IA ignorait le prix.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":981,"title":982,"description":983,"published":984,"category":620,"image":985,"draft":624},"\u002Fblog\u002Fbase44-source-maps","Sécurité Base44 : ce qu’un scan signale, et ce qui dépend de vous","Sécurité Base44 sur 5 438 applis : trois signalements sur presque chacune sont ceux de la plateforme, la source map est le badge Base44, votre part est courte.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":987,"title":988,"description":989,"published":990,"category":620,"image":991,"draft":624},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI est-il sûr ? L’éditeur, le code et l’appli publiée","Cursor AI est-il sûr ? Trois questions dans une recherche : ce que Cursor garde, ce que son code rate, et si l’appli que vous avez publiée est ouverte.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":993,"title":994,"description":995,"published":996,"category":620,"image":997,"draft":624},"\u002Fblog\u002Fis-replit-safe","Replit est-il sûr ? Ce que 3 042 applications Replit nous ont montré","Replit est-il sûr ? 3 042 applications Replit en ligne, neuf vérifications externes. Les trouvailles étaient dans l’application publiée, pas chez l’hébergeur.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":999,"title":1000,"description":1001,"published":1002,"category":722,"image":1003,"draft":624},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup : votre copie de base n'a aucun fichier","Un Supabase storage backup est une tâche à part. Les sauvegardes de la base gardent la liste de vos fichiers et aucun des fichiers, donc chaque upload casse.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":1005,"title":1006,"description":1007,"published":1008,"category":722,"image":1009,"draft":624},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery Supabase : prix et limites","Le point-in-time recovery de Supabase rembobine votre base à la seconde près sur la dernière semaine. $100 par mois en plus de Pro, et rien que la base.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":1011,"title":1012,"description":1013,"published":1014,"category":722,"image":1015,"draft":624},"\u002Fblog\u002Fsupabase-project-paused-recover","Projet Supabase en pause ? Vos données sont toujours là","Supabase a mis votre projet en pause après une semaine sans activité. Rien n'est supprimé, Restaurer est à côté du nom, et vous avez un an pour cliquer.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":1017,"title":1018,"description":1019,"published":1020,"category":620,"image":1021,"draft":624},"\u002Fblog\u002Fsafest-ai-app-builder","Quel builder d'app IA est le plus sûr ? 30 998 apps testées","Quel builder d'app IA est le plus sûr ? Nous avons scanné 30 998 apps actives de Lovable, Base44, Replit, v0 et Bolt. Ce n'est pas le builder qui décide.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":1023,"title":1024,"description":1025,"published":1026,"category":620,"image":1027,"draft":624},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Activer Row Level Security sur chaque table Supabase, et le prouver","Activer Row Level Security dans Supabase sans politique ferme la table entièrement. Une politique sans le réglage ne fait rien. Voici le SQL, et le test.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":1029,"title":1030,"description":1031,"published":1032,"category":620,"image":1033,"draft":624},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\" : ce que l'alerte rate","Supabase signale \"RLS disabled in public\" comme une erreur. Elle ne dit rien de la politique de lecture qui laisse votre table tout aussi ouverte.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":1035,"title":1036,"description":1037,"published":1038,"category":620,"image":1039,"draft":624},"\u002Fblog\u002Frotate-supabase-service-role-key","Faire tourner une clé service_role Supabase qui a fuité","Supabase dit de colmater la fuite d'abord. D'autres guides disent de faire tourner la clé tout de suite. Tout dépend d'où votre clé service_role a fuité.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":1041,"title":1042,"description":1043,"published":1044,"category":620,"image":1045,"draft":624},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanners de sécurité vibe coding comparés, le nôtre compris","Le meilleur scanner de sécurité vibe coding tient à trois questions qu'aucune liste de fonctions ne traite. Huit outils comparés, avec les prix.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":1047,"title":1048,"description":1049,"published":1050,"category":620,"image":1051,"draft":624},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker : les cinq vérifications à faire soi-même","Un Supabase security checker lit votre app publiée plutôt que les réglages de votre projet. Voici les cinq vérifications, et comment faire chacune vous-même.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":1053,"title":1054,"description":1055,"published":1056,"category":620,"image":1057,"draft":624},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner de sécurité vibe coding : ce qu’un scan d’URL rate","Un scanner de sécurité vibe coding lit votre app en ligne depuis l’extérieur. Ce qu’il couvre, les quatre choses qu’il ne voit pas, et comment lire le résultat.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":1059,"title":1060,"description":1061,"published":1062,"category":620,"image":1063,"draft":624},"\u002Fblog\u002Fmissing-security-headers","En-têtes de sécurité manquants : quand cela compte","Les en-têtes de sécurité manquants sont notre constat le plus fréquent. Contre quoi ils protègent, et quand ils comptent le moins dans votre rapport.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1065,"title":1066,"description":1067,"published":1068,"category":620,"image":1069,"draft":624},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","Votre clé API OpenAI est exposée dans votre frontend. Changez-la.","Une clé API OpenAI exposée dans votre frontend ne peut être liée à aucun domaine. Changez-la aujourd'hui, passez par votre serveur et plafonnez la dépense.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1071,"title":1072,"description":1073,"published":1074,"category":620,"image":1075,"draft":624},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Clé API exposée dans le frontend : ce que 30 998 applis livrent","Une clé API exposée dans votre frontend est le plus souvent une clé Google Maps. Nous avons scanné 30 998 applis vibe-codées et compté ce qui fuit vraiment.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1077,"title":1078,"description":1079,"published":1080,"category":722,"image":1081,"draft":624},"\u002Fblog\u002Fsupabase-backup-tools-compared","Outils de sauvegarde Supabase comparés, le nôtre compris","Quatre familles d'outil de sauvegarde Supabase, ce que chacun copie vraiment, et quand une GitHub Action gratuite bat le fait de payer, nous compris.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1083,"title":1084,"description":1085,"published":1086,"category":620,"image":1087,"draft":624},"\u002Fblog\u002Freplit-secrets-explained","Utiliser les secrets sur Replit, et ce qui est publié quand même","Utiliser les secrets sur Replit : en ajouter un, le relire, corriger les deux causes du undefined. Et les clés que l'outil Secrets ne peut pas protéger.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1089,"title":1090,"description":1091,"published":1092,"category":722,"image":1093,"draft":624},"\u002Fblog\u002Fback-up-supabase-free-tier","Sauvegardes du plan gratuit Supabase : en faire une sans terminal","Le plan gratuit de Supabase ne fait aucune sauvegarde : la copie vient de vous. Comment la faire depuis le tableau de bord, et ce que le CSV oublie.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1095,"title":1096,"description":1097,"published":1098,"category":620,"image":1099,"draft":624},"\u002Fblog\u002Fis-supabase-secure","Supabase est-il sûr ? Oui. Votre projet est une autre question","Supabase est-il sûr ? La plateforme est auditée, chiffrée et testée en intrusion. Sa documentation dit où cela s'arrête et où vos réglages commencent.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1101,"title":1102,"description":1103,"published":1104,"category":620,"image":1105,"draft":624},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Où trouver vos clés API Supabase : anon, service_role et URL","L'URL du projet, la clé anon et la clé service_role tiennent sur une page du tableau de bord. Voici où elle est, et laquelle des quatre va dans votre app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1107,"title":1108,"description":1109,"published":1110,"category":620,"image":1111,"draft":624},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy sur Supabase : et après ?","\"New row violates row-level security policy\" signifie que Supabase a refusé une écriture. Le correctif rapide rouvre la table à tout le monde.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1113,"title":1114,"description":1115,"published":1116,"category":620,"image":1117,"draft":624},"\u002Fblog\u002Fcors-wildcard-security-risk","Un joker CORS est-il un risque de sécurité ? Rarement.","Un joker CORS est-il un risque de sécurité ? C'est souvent le réglage par défaut de votre builder, et il ne livre rien que votre serveur ne donnait déjà.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1119,"title":1120,"description":1121,"published":1122,"category":722,"image":1123,"draft":624},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Le branching Supabase n'est pas une sauvegarde de vos données.","Pourquoi le branching Supabase n'est pas une sauvegarde : une branche démarre sans vos données, et un merge ne déplace que le schéma. À quoi il sert vraiment.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1125,"title":1126,"description":1127,"published":1128,"category":722,"image":1129,"draft":624},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Restaurer une sauvegarde Supabase, et ce qui casse après","Restaurer une sauvegarde Supabase depuis le tableau de bord ou un fichier de dump, ce que la restauration remplace et pourquoi votre app peut rester cassée.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1131,"title":1132,"description":1133,"published":1134,"category":620,"image":1135,"draft":624},"\u002Fblog\u002Fsupabase-storage-bucket-public","Votre bucket Supabase Storage est public. Est-ce un problème ?","Un bucket Supabase Storage public signifie que celui qui a l'URL d'un fichier peut l'ouvrir. Il ne signifie pas que quelqu'un peut lister ce qu'il contient.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1137,"title":1138,"description":1139,"published":1140,"category":620,"image":1141,"draft":624},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Une clé API Google dans votre frontend, est-ce un problème ?","Une clé API Google exposée dans votre frontend est la clé que notre scanner trouve le plus souvent, et en général tout va bien. Un réglage gratuit tranche.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1143,"title":1144,"description":1145,"published":1146,"category":722,"image":1147,"draft":624},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agent IA a supprimé mes données Supabase. Que puis-je récupérer ?","Un agent IA a supprimé des données de votre base. Ce que vous pouvez récupérer était déjà décidé avant, et les prochaines minutes décident du reste.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1149,"title":1150,"description":1151,"published":1152,"category":620,"image":1153,"draft":624},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Qui peut lire votre base Supabase ? Nous avons testé 3 680 apps","N'importe qui peut-il lire votre base de données Supabase sans se connecter ? Nous avons scanné 30 998 apps en ligne créées avec des builders IA.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1155,"title":1156,"description":1157,"published":1152,"category":620,"image":1158,"draft":624},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source maps exposées : votre app publie son code original","Une source map exposée laisse n'importe qui lire le code original de votre app, commentaires compris. Le test de 30 secondes, et ce qui compte vraiment.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1160,"title":1161,"description":1162,"published":1163,"category":620,"image":1164,"draft":624},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key : la même chose que l'anon key ?","Supabase a remplacé anon et service_role par des clés publiables et secrètes. Laquelle a sa place dans votre app, et laquelle jamais ?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1166,"title":1167,"description":1168,"published":1169,"category":722,"image":1170,"draft":624},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase sauvegarde-t-il ma base de données ? Cela dépend du plan.","Supabase sauvegarde-t-il votre base de données ? Chaque jour sur les plans payants, jamais sur le gratuit. Comment savoir ce que vous avez vraiment.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1172,"title":1173,"description":1174,"published":1175,"category":620,"image":1176,"draft":624},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security est activé. La table reste publique.","Activer Supabase Row Level Security ne protège pas une table. Ce sont vos politiques, et celle qui a réparé votre app laisse peut-être entrer tout le monde.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1178,"title":1179,"description":1180,"published":1175,"category":722,"image":1181,"draft":624},"\u002Fblog\u002Fversion-history-is-not-a-backup","L'historique des versions n'est pas une sauvegarde de vos données.","Lovable et Bolt tiennent un historique des versions de votre code. Votre base de données est un service à part, et revenir en arrière ne la ramène pas.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1183,"title":1184,"description":1185,"published":1186,"category":722,"image":1187,"draft":624},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Trois façons de sauvegarder une base Supabase, et ce qui manque","Le tableau de bord, pg_dump et un service géré. Ce que chacun enregistre, ce qu'il laisse de côté sans le dire, et lequel survit à la perte du compte.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1189,"title":1190,"description":1191,"published":1186,"category":620,"image":1192,"draft":624},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quelles clés API sont sûres côté navigateur, et lesquelles non","Votre clé anon Supabase est faite pour être publique. Votre clé service_role non, et elle ignore toutes les règles que vous posez. Comment les distinguer.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213641839]