[{"data":1,"prerenderedAt":1110},["ShallowReactive",2],{"blog-fr-supabase-email-rate-limit-exceeded":3,"blog-index-fr":580},{"id":4,"title":5,"body":6,"category":535,"cover":536,"coverAlt":537,"description":538,"draft":539,"extension":540,"faq":541,"image":560,"keywords":561,"meta":569,"navigation":570,"ogTitle":5,"path":571,"published":572,"seo":573,"stem":574,"tldr":575,"updated":572,"__hash__":579},"blog_fr\u002Fblog\u002Fsupabase-email-rate-limit-exceeded.md","Supabase \"Email Rate Limit Exceeded\" : deux limites, un code",{"type":7,"value":8,"toc":522},"minimark",[9,18,28,31,43,48,51,54,73,91,110,116,124,128,131,188,200,207,212,216,219,234,237,241,249,252,258,265,287,291,294,318,321,346,353,357,364,370,373,384,389,393,396,402,412,416,419,428,446,455,475,479,516],[10,11,12,13,17],"p",{},"Vous testez votre formulaire d'inscription avant de partager l'application. Vous\nvous inscrivez avec votre propre adresse, puis avec ",[14,15,16],"code",{},"vous+2@gmail.com",", puis une\nfois de plus pour vérifier que l'e-mail de confirmation est bien présenté. L'une\nde ces tentatives s'arrête sur ceci :",[19,20,25],"pre",{"className":21,"code":23,"language":24},[22],"language-text","AuthApiError: email rate limit exceeded\n","text",[14,26,23],{"__ignoreMap":27},"",[10,29,30],{},"Supabase \"Email Rate Limit Exceeded\" signifie que votre projet a épuisé son quota\nd'e-mails pour l'heure. Supabase Auth, la partie de Supabase qui connecte les\ngens, a donc refusé d'en envoyer un autre. Avec le service d'e-mail qu'a tout\nprojet au départ, ce quota est de deux e-mails par heure pour tout le projet.",[10,32,33,34,38,39,42],{},"Voici la partie qu'on comprend facilement de travers : ",[35,36,37],"strong",{},"le code d'erreur couvre\ndeux limites différentes."," La propre liste des codes d'erreur Auth de Supabase\ndécrit ",[14,40,41],{},"over_email_send_rate_limit"," comme \"Too many emails have been sent to this\nemail address.\" C'est vrai pour l'une des deux. Le même code revient aussi quand\ntout le projet est à court, quel que soit le destinataire de l'e-mail, donc\nessayer une autre adresse ne change rien. Et le conseil habituel, \"branchez votre\npropre SMTP\", ne règle que la moitié du problème, parce que Supabase démarre un\nserveur d'e-mail fraîchement branché à 30 e-mails par heure.",[44,45,47],"h2",{"id":46},"que-signifie-email-rate-limit-exceeded-dans-supabase","Que signifie \"Email rate limit exceeded\" dans Supabase ?",[10,49,50],{},"Votre projet a envoyé cette heure-ci autant d'e-mails que Supabase Auth le\npermet, et le suivant a été refusé.",[10,52,53],{},"Imaginez le quota comme une planche de timbres. Supabase donne à chaque projet un\nnombre fixe de timbres par heure, et chaque e-mail envoyé par Supabase Auth en\nutilise un, quel que soit le type d'e-mail et quel que soit son destinataire :",[55,56,57,61,64,67,70],"ul",{},[58,59,60],"li",{},"le lien de confirmation après une inscription",[58,62,63],{},"un lien magique ou un code à usage unique pour se connecter",[58,65,66],{},"une réinitialisation de mot de passe",[58,68,69],{},"une invitation que vous envoyez depuis la page Users",[58,71,72],{},"la confirmation quand quelqu'un change son adresse e-mail",[10,74,75,76,78,79,82,83,90],{},"Quand la planche est vide, Supabase Auth répond avec HTTP 429, qui veut dire \"trop\nde requêtes\", le code ",[14,77,41],{}," et le message ",[14,80,81],{},"email rate limit exceeded",". Ces mots viennent\n",[84,85,89],"a",{"href":86,"rel":87},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Fmail.go",[88],"nofollow","du code même du serveur Supabase Auth",".",[10,92,93,94,97,98,103,104,109],{},"Avec l'expéditeur intégré, le service d'e-mail avec lequel démarre un nouveau\nprojet, la planche contient ",[35,95,96],{},"deux timbres par heure",". C'est le chiffre de la\n",[84,99,102],{"href":100,"rel":101},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Frate-limits",[88],"page des limites de débit"," de\nSupabase quand nous l'avons lue le 20 octobre 2026, et le\n",[84,105,108],{"href":106,"rel":107},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fauth-smtp",[88],"guide SMTP de Supabase"," précise\nqu'il \"can change without notice\". À deux par heure, une inscription et une\nréinitialisation de mot de passe font tout le quota de l'heure.",[111,112],"diagram",{"alt":113,"caption":114,"src":115},"Quatre types d'e-mail, pour un nouveau compte, un lien de connexion, une réinitialisation de mot de passe et une invitation, puisent tous dans une même planche de deux timbres par heure. Deux enveloppes partent affranchies. Les deux autres sont arrêtées à une barrière, sans timbre.","Chaque e-mail envoyé par Supabase Auth utilise un timbre de la même planche. Avec l'expéditeur intégré, la planche en contient deux par heure.","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fone-sheet-every-email-1600x760.png",[10,117,118,119,123],{},"Si plus personne ne peut se connecter, ou si toute l'application est vide, le\nproblème est ailleurs, et\n",[84,120,122],{"href":121},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase est-il en panne, ou est-ce votre app","\nest le bon point de départ.",[44,125,127],{"id":126},"deux-limites-partagent-un-même-code-derreur","Deux limites partagent un même code d'erreur",[10,129,130],{},"Le message vous dit quelle limite vous avez atteinte. Le code est le même pour\nles deux :",[132,133,134,153],"table",{},[135,136,137],"thead",{},[138,139,140,144,147,150],"tr",{},[141,142,143],"th",{},"Le message",[141,145,146],{},"Ce qui est limité",[141,148,149],{},"Ce qui est compté",[141,151,152],{},"La valeur par défaut",[154,155,156,172],"tbody",{},[138,157,158,163,166,169],{},[159,160,161],"td",{},[14,162,81],{},[159,164,165],{},"Tout le projet",[159,167,168],{},"Chaque e-mail envoyé par Supabase Auth, par heure",[159,170,171],{},"2 par heure avec l'expéditeur intégré, 30 quand vous branchez le vôtre",[138,173,174,179,182,185],{},[159,175,176],{},[14,177,178],{},"For security purposes, you can only request this after N seconds.",[159,180,181],{},"Une adresse",[159,183,184],{},"Le même type d'e-mail, renvoyé à la même adresse",[159,186,187],{},"Un toutes les 60 secondes",[10,189,190,191,193,194,199],{},"Les deux répondent HTTP 429 avec ",[14,192,41],{},". La\n",[84,195,198],{"href":196,"rel":197},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fdebugging\u002Ferror-codes",[88],"liste des codes d'erreur Auth","\nde Supabase vous demande d'identifier les erreurs par leur code et \"not string\nmatching on error messages\". C'est juste pour le code de votre application, et\ncela laisse ici un trou : seul le message dit quelle limite vous avez atteinte.\nLisez donc le message pour comprendre ce qui s'est passé, et laissez votre\napplication réagir au code.",[10,201,202,203,206],{},"Si votre application dit seulement \"une erreur est survenue\", le message exact se\ntrouve dans la réponse à la requête échouée, dans l'onglet Réseau des outils de\ndéveloppement de votre navigateur. Un code ",[14,204,205],{},"over_request_rate_limit"," est une\ntroisième limite, sur les requêtes venant d'une même adresse IP, et la liste de\nSupabase indique qu'il peut signaler un bug de votre application qui en envoie\ntrop.",[111,208],{"alt":209,"caption":210,"src":211},"Deux panneaux. Dans celui de gauche, la planche de timbres du projet est vide et trois enveloppes pour trois personnes différentes sont arrêtées. Dans celui de droite, une personne a déjà reçu une enveloppe, et une deuxième pour la même personne attend à côté d'une horloge marquant 60 secondes. Les deux panneaux mènent au même code d'erreur, over_email_send_rate_limit, avec le statut 429.","Une planche vide et une attente de 60 secondes sont deux refus différents, et Supabase les signale avec le même code.","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Ftwo-refusals-one-code-1600x720.png",[44,213,215],{"id":214},"pourquoi-le-message-dit-il-you-can-only-request-this-after-0-seconds","Pourquoi le message dit-il \"you can only request this after 0 seconds\" ?",[10,217,218],{},"Parce qu'il restait moins d'une seconde d'attente. La limite par adresse autorise\nun e-mail de chaque type vers la même adresse toutes les 60 secondes : une\nconfirmation d'inscription, une réinitialisation de mot de passe, un lien magique\nou un code. Redemandez plus tôt et Supabase Auth calcule le temps restant et\nl'écrit dans le message.",[10,220,221,222,229,230,233],{},"Il compte en secondes entières et laisse tomber le reste. La fonction du serveur\nAuth qui écrit ce message\n(",[84,223,226],{"href":224,"rel":225},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Ferrors.go",[88],[14,227,228],{},"errors.go",")\ndivise le temps restant par une seconde, donc 0,8 seconde s'affiche ",[14,231,232],{},"0",".\nRéessayez un instant plus tard et cela passe, tant que le plafond horaire du\nprojet a encore un timbre.",[10,235,236],{},"Cette attente fait ce pour quoi elle existe. C'est elle qui empêche un bouton de\nrenvoi, pressé vingt fois, d'envoyer vingt e-mails. Laissez-la à 60 secondes et\nlaissez votre formulaire l'expliquer.",[44,238,240],{"id":239},"le-plafond-horaire-et-à-qui-il-est-destiné","Le plafond horaire, et à qui il est destiné",[10,242,243,244,248],{},"L'expéditeur intégré sert à essayer Supabase, et Supabase le dit dans son\n",[84,245,247],{"href":106,"rel":246},[88],"guide SMTP",". Le guide énumère\nce à quoi le service est destiné : \"Exploring and getting started with Supabase\nAuth\", \"Setting up and testing email templates with the members of the project's\nteam\" et \"Building toy projects, demos or any non-mission-critical application\".\nIl vient aussi avec \"No SLA guarantee on message delivery or uptime\".",[10,250,251],{},"Le même guide a une deuxième règle, et c'est elle qui décide qui voit quelle\nerreur. Tant que vous n'avez pas branché votre propre serveur d'e-mail, Supabase\nAuth \"will refuse to deliver messages to addresses that are not part of the\nproject's team\". Un client qui s'inscrit avec sa propre adresse est refusé avant\nmême qu'un timbre soit compté, avec un autre message :",[19,253,256],{"className":254,"code":255,"language":24},[22],"Email address \"customer@example.com\" cannot be used as it is not authorized\n",[14,257,255],{"__ignoreMap":27},[10,259,260,261,264],{},"C'est HTTP 400 avec le code ",[14,262,263],{},"email_address_not_authorized",", et dans le code du\nserveur Auth cette vérification passe avant les deux limites. Si l'inscription\nmarche quand vous l'essayez et échoue pour tous les autres, c'est la raison.",[10,266,267,268,270,271,274,275,278,279,282,283,286],{},"Avec l'expéditeur intégré, ",[14,269,81],{}," tombe donc surtout sur\nvous et votre équipe, pendant les tests. Quand le serveur Auth vérifie si une\nadresse fait partie de votre équipe, il ignore tout ce qui se trouve entre un ",[14,272,273],{},"+","\net le ",[14,276,277],{},"@",". Ainsi ",[14,280,281],{},"vous+test1@gmail.com"," et ",[14,284,285],{},"vous+test2@gmail.com"," comptent tous\ndeux comme vous, et chaque inscription de test utilise l'un des deux mêmes\ntimbres.",[44,288,290],{"id":289},"comment-relever-la-limite-de-mails-de-supabase","Comment relever la limite d'e-mails de Supabase ?",[10,292,293],{},"Branchez votre propre fournisseur d'e-mail, puis relevez la limite que Supabase\nlui applique. Ce sont deux étapes distinctes, et c'est la seconde qu'on oublie.",[295,296,297,306,312],"ol",{},[58,298,299,302,303,90],{},[35,300,301],{},"Choisissez un service d'envoi et récupérez ses réglages SMTP."," Le guide de\nSupabase cite Resend, AWS SES, Postmark, Twilio SendGrid, ZeptoMail et Brevo,\net précise que tout service qui prend en charge SMTP fonctionnera. Il vous faut\nl'hôte, le port, un nom d'utilisateur et un mot de passe, plus une adresse\nd'expéditeur comme ",[14,304,305],{},"no-reply@votredomaine.fr",[58,307,308,311],{},[35,309,310],{},"Activez le SMTP personnalisé"," dans les réglages Authentication de votre\nprojet et saisissez ces informations. À partir de là, Supabase envoie à toutes\nles adresses.",[58,313,314,317],{},[35,315,316],{},"Relevez la limite d'e-mails"," sur la page Rate Limits, elle aussi sous\nAuthentication. Le guide indique qu'un serveur fraîchement branché reçoit \"a low\nrate-limit of 30 messages per hour\" pour protéger sa réputation, et que c'est\nlà que vous la changez. Réglez-la sur ce que votre fournisseur autorise et sur\nce dont votre heure la plus chargée a besoin.",[10,319,320],{},"Trois autres points du même guide vont avec ce changement :",[55,322,323,329,335],{},[58,324,325,328],{},[35,326,327],{},"Configurez DKIM, DMARC et SPF"," pour votre domaine d'envoi, chez votre\nfournisseur. Supabase dit que cela \"will significantly increase the\ndeliverability of your messages\".",[58,330,331,334],{},[35,332,333],{},"Activez le CAPTCHA sur les inscriptions."," Le guide cite les robots qui\ninscrivent des listes d'adresses comme \"a common source of abuse\", et chacune de\nces inscriptions est un e-mail pris sur votre heure. Il appelle le CAPTCHA \"the\nmost effective way\" de les arrêter.",[58,336,337,340,341,345],{},[35,338,339],{},"Vérifiez que vos utilisateurs ne sont pas déconnectés."," Selon le guide, des\nsessions courtes obligent \"active users to sign in frequently, increasing the\nnumber of messages\", et si vos utilisateurs se connectent par lien e-mail,\nchaque déconnexion inattendue coûte un timbre.\n",[84,342,344],{"href":343},"\u002Fblog\u002Fsupabase-users-logged-out","Pourquoi les utilisateurs de Supabase sont déconnectés","\nen explique les causes.",[10,347,348,349,90],{},"Pour les autres limites qu'un projet gratuit rencontre, voyez\n",[84,350,352],{"href":351},"\u002Fblog\u002Fsupabase-free-plan-limits","ce que comprend l'offre gratuite de Supabase",[44,354,356],{"id":355},"gérer-lerreur-dans-votre-formulaire-dinscription","Gérer l'erreur dans votre formulaire d'inscription",[10,358,359,360,363],{},"Interceptez-la par son code et dites à la personne quoi faire, en termes clairs.\nLe client JavaScript de Supabase met le code du serveur sur l'erreur qu'il\nrenvoie, sous ",[14,361,362],{},"error.code",", donc la vérification tient en une ligne :",[19,365,368],{"className":366,"code":367,"language":24},[22],"const { error } = await supabase.auth.signUp({ email, password })\n\nif (error?.code === 'over_email_send_rate_limit') {\n  \u002F\u002F afficher : \"Nous n'avons pas pu envoyer votre e-mail pour l'instant. Réessayez dans une minute.\"\n}\n",[14,369,367],{"__ignoreMap":27},[10,371,372],{},"Demandez à votre outil, que ce soit Lovable, Bolt, v0, Cursor, Claude Code ou\nReplit, trois choses :",[55,374,375,378,381],{},[58,376,377],{},"la même vérification sur chaque formulaire qui envoie un e-mail : inscription,\n\"mot de passe oublié\", connexion par lien e-mail et \"renvoyer\"",[58,379,380],{},"un message qui demande à la personne de réessayer sous peu, à la place de\nl'erreur brute ou d'un formulaire qui ne fait rien sans rien dire",[58,382,383],{},"le bouton de renvoi désactivé pendant 60 secondes après chaque envoi, pour que\npersonne ne puisse le pousser dans l'attente par adresse",[10,385,386,387,90],{},"Évitez les nouvelles tentatives automatiques. Tant que la planche est vide, chaque\ntentative est refusée, et les requêtes d'inscription sont aussi limitées par\nadresse IP, à 30 toutes les 5 minutes par défaut. Une boucle de tentatives peut\ndéclencher cette limite aussi, et celle-ci répond avec ",[14,388,205],{},[44,390,392],{"id":391},"ce-quil-ne-faut-pas-changer-pendant-que-les-inscriptions-bloquent","Ce qu'il ne faut pas changer pendant que les inscriptions bloquent",[10,394,395],{},"La confirmation par e-mail, et l'endroit d'où partent les e-mails. Deux\nraccourcis font disparaître l'erreur et vous laissent en moins bonne posture.",[10,397,398,401],{},[35,399,400],{},"Laissez la confirmation par e-mail activée."," Désactiver \"Confirm email\" fait\nque les inscriptions n'envoient plus rien, donc l'erreur disparaît. Le guide SMTP\nde Supabase range \"Do not disable email confirmations under pressure\" parmi ses\nprotections, parce que sans confirmation quelqu'un peut créer un compte au nom\nd'une autre personne.",[10,403,404,407,408,90],{},[35,405,406],{},"Gardez les e-mails hors du navigateur."," Demandez à un assistant \"d'envoyer\nsimplement la confirmation avec Resend\" et il peut placer la clé d'API du\nfournisseur dans le code frontend de votre application, où chaque visiteur peut la\nlire et envoyer du courrier en votre nom. Envoyez les e-mails par les réglages SMTP\nde Supabase ou par une fonction côté serveur, jamais avec une clé dans la page. Si\nvous n'êtes pas sûr qu'aucune ne s'y est glissée, notre scan gratuit lit le code\nque votre application en ligne envoie à chaque visiteur et signale les clés\nsecrètes qu'il y trouve. Il prend environ 20 secondes et ne demande pas de compte :\n",[84,409,411],{"href":410},"\u002Fsecurity-scanner","scannez votre app",[44,413,415],{"id":414},"garder-un-œil-sur-lapplication-pendant-que-vous-changez-lenvoi-des-e-mails","Garder un œil sur l'application pendant que vous changez l'envoi des e-mails",[10,417,418],{},"Deux choses peuvent mal tourner pendant que vous recâblez l'envoi d'e-mails : une\nclé se retrouve dans le code de votre application, et un message disant \"personne\nne peut s'inscrire\" vous lance à la recherche d'une panne.",[10,420,421],{},[35,422,423,427],{},[84,424,426],{"href":425},"\u002Fwebsite-monitoring","Reeve Monitor"," continue de vérifier depuis l'extérieur :",[55,429,430,433,436,443],{},[58,431,432],{},"si votre application répond, vérifié chaque minute, pour savoir tout de suite si une plainte sur l'inscription est une panne ou quelque chose de plus limité",[58,434,435],{},"la vérification de sécurité complète toutes les heures, sur trois applications au plus, y compris les clés secrètes dans le code que votre application envoie aux visiteurs",[58,437,438,439,442],{},"un message quand un résultat ",[35,440,441],{},"change",", pour qu'une clé partie avec un déploiement ultérieur vous parvienne sans que vous alliez voir",[58,444,445],{},"un rapport mensuel, en langage clair, de ce qu'il a vu",[10,447,448],{},[35,449,450,454],{},[84,451,453],{"href":452},"\u002Fsupabase-backups","Reeve Care"," garde une copie de votre base de données Supabase :",[55,456,457,460,463,466,469,472],{},[58,458,459],{},"une copie chiffrée selon un calendrier, sur le stockage de Reeve dans l'UE, hors de votre compte Supabase",[58,461,462],{},"le schéma auth, où vit chaque compte qui a réussi à s'inscrire",[58,464,465],{},"chaque copie vérifiée avant de compter, en comptant les lignes de chaque table",[58,467,468],{},"vos fichiers envoyés aussi, dès que vous connectez un accès Storage",[58,470,471],{},"une restauration en un clic, précédée d'une copie de sécurité de l'état actuel",[58,473,474],{},"tout ce que fait Monitor",[44,476,478],{"id":477},"que-faire-maintenant","Que faire maintenant",[480,481,482],"key-takeaways",{},[55,483,484,494,501,504,507,513],{},[58,485,486,487,489,490,493],{},"Lisez le message autant que le code : ",[14,488,81],{}," est le plafond horaire du projet, et ",[14,491,492],{},"For security purposes…"," est l'attente de 60 secondes pour une adresse.",[58,495,496,497,500],{},"Si des clients voient ",[14,498,499],{},"Email address … cannot be used as it is not authorized",", votre projet passe encore par l'expéditeur intégré de Supabase, qui n'écrit qu'à votre équipe.",[58,502,503],{},"Branchez votre propre fournisseur SMTP, puis relevez la limite d'e-mails sur la page Rate Limits, qui démarre à 30 par heure.",[58,505,506],{},"Configurez DKIM, DMARC et SPF chez votre fournisseur, et activez le CAPTCHA sur les inscriptions.",[58,508,509,510,512],{},"Faites vérifier ",[14,511,41],{}," à chaque formulaire qui envoie un e-mail, afficher un message clair et bloquer le bouton de renvoi 60 secondes.",[58,514,515],{},"Gardez la confirmation par e-mail activée, et ne mettez jamais la clé d'un fournisseur d'e-mail dans votre frontend.",[10,517,518,519,521],{},"Commencez par le message dans la réponse échouée, parce qu'il vous dit laquelle\ndes deux limites vous avez atteinte. Puis, une fois que les e-mails partent par\nvotre propre fournisseur, ",[84,520,411],{"href":410}," pour vérifier\nqu'aucune clé n'a suivi.",{"title":27,"searchDepth":523,"depth":523,"links":524},3,[525,527,528,529,530,531,532,533,534],{"id":46,"depth":526,"text":47},2,{"id":126,"depth":526,"text":127},{"id":214,"depth":526,"text":215},{"id":239,"depth":526,"text":240},{"id":289,"depth":526,"text":290},{"id":355,"depth":526,"text":356},{"id":391,"depth":526,"text":392},{"id":414,"depth":526,"text":415},{"id":477,"depth":526,"text":478},"Bases de la sécurité","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcover-1200x630.png","Une planche de timbres dont chaque timbre a déjà été arraché, à côté d'une pile d'enveloppes fermées sans rien dans leur coin.","Supabase \"Email Rate Limit Exceeded\" plafonne chaque e-mail de votre projet : 2 par heure avec l'expéditeur intégré. Ce qui compte, et comment le relever.",false,"md",[542,545,548,551,554,557],{"q":543,"a":544},"Que signifie \"email rate limit exceeded\" dans Supabase ?","Votre projet a envoyé cette heure-ci autant d'e-mails que Supabase Auth le permet, donc le suivant a été refusé. Le compte inclut chaque e-mail qu'Auth envoie, à qui que ce soit : confirmations d'inscription, liens magiques, réinitialisations de mot de passe et invitations. Avec l'expéditeur intégré, c'est 2 par heure. Avec votre propre fournisseur SMTP, vous fixez le chiffre vous-même.",{"q":546,"a":547},"Pourquoi le message dit-il que je ne peux redemander qu'après 0 seconde ?","Parce qu'il restait moins d'une seconde sur l'attente de 60 secondes. Supabase Auth compte le temps restant en secondes entières et laisse tomber le reste, donc la dernière seconde s'affiche comme 0. Réessayez un instant plus tard et l'e-mail part, tant que le plafond horaire a encore de la place.",{"q":549,"a":550},"Combien d'e-mails Supabase peut-il envoyer pour moi ?","Avec l'expéditeur intégré, 2 par heure pour tout le projet, et seulement aux personnes de votre équipe Supabase. Supabase précise que ce chiffre peut changer sans préavis. Avec votre propre fournisseur SMTP, il n'y a pas de chiffre fixe : Supabase démarre à 30 par heure et vous l'augmentez sur la page Rate Limits.",{"q":552,"a":553},"Ai-je besoin de mon propre fournisseur SMTP ?","Oui, dès que quelqu'un d'extérieur à votre équipe s'inscrit par e-mail. L'expéditeur intégré refuse les adresses qui ne sont pas dans votre équipe, et Supabase le décrit comme fait pour essayer, tester des modèles et faire des démos. Resend, AWS SES, Postmark, SendGrid, ZeptoMail et Brevo font partie des services que Supabase cite comme compatibles.",{"q":555,"a":556},"Comment éviter que cela casse mon formulaire d'inscription ?","Vérifiez le code de l'erreur avant que quoi que ce soit n'arrive à l'écran. Si c'est over_email_send_rate_limit, affichez un message clair qui demande de réessayer dans une minute, et gardez le bouton de renvoi désactivé 60 secondes après chaque envoi, pour que personne ne puisse le pousser dans l'attente.",{"q":558,"a":559},"Pourquoi mes clients reçoivent-ils \"Email address not authorized\" ?","Parce que votre projet envoie encore par l'expéditeur intégré de Supabase, qui ne livre qu'aux membres de votre organisation Supabase. Tous les autres sont refusés avec le code email_address_not_authorized. Brancher votre propre fournisseur SMTP règle le problème, et c'est le même changement qui lève le plafond horaire.","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",[562,563,41,564,565,566,567,568],"email rate limit exceeded supabase","supabase email rate limit exceeded","for security purposes you can only request this after","supabase limite smtp","supabase e-mail de confirmation non reçu","supabase lien magique non envoyé","email address not authorized supabase",{},true,"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","2026-10-20",{"title":5,"description":538},"blog\u002Fsupabase-email-rate-limit-exceeded",[576,577,578],"Supabase \"Email Rate Limit Exceeded\" signifie que votre projet a envoyé cette heure-ci autant d'e-mails qu'il en a le droit. Avec l'expéditeur intégré, c'est 2 par heure, et chaque confirmation d'inscription, chaque lien magique et chaque réinitialisation de mot de passe compte.","Le même code, over_email_send_rate_limit, revient aussi avec \"For security purposes, you can only request this after N seconds\", une attente de 60 secondes pour une seule adresse. Seul le message distingue les deux.","Votre propre fournisseur SMTP lève le plafond horaire une fois que vous relevez aussi la limite sur la page Rate Limits, qui démarre à 30 par heure. L'attente de 60 secondes reste, et votre formulaire doit l'expliquer.","E8NbXT6_8yLhS50_mk1drTRmcyLHFYqJUqD1fdIRGjg",[581,587,593,599,605,611,617,623,629,635,641,648,654,660,666,672,678,684,690,696,702,703,708,714,720,726,732,738,744,750,756,762,768,774,780,786,792,798,804,810,815,821,826,832,838,844,849,855,861,867,873,879,885,891,897,903,909,915,921,927,933,939,945,951,957,963,969,975,981,987,993,999,1005,1011,1017,1023,1029,1035,1041,1047,1053,1059,1065,1071,1076,1082,1088,1094,1099,1105],{"path":582,"title":583,"description":584,"published":585,"category":535,"image":586,"draft":539},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\" expliqué","Supabase \"max client connections reached\" : le pooler n'a plus de place pour un client de plus. Le port de votre chaîne de connexion fixe la limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":588,"title":589,"description":590,"published":591,"category":535,"image":592,"draft":539},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Erreur Supabase : \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\" : la connexion Google est désactivée dans votre projet Supabase. Comment l'activer, et redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":594,"title":595,"description":596,"published":597,"category":535,"image":598,"draft":539},"\u002Fblog\u002Fviolates-foreign-key-constraint","Erreur Supabase \"violates foreign key constraint\" à l'insertion","Supabase \"insert or update on table violates foreign key constraint\" : votre ligne pointe vers une ligne absente. Laquelle, pourquoi, et la solution.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":600,"title":601,"description":602,"published":603,"category":535,"image":604,"draft":539},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Erreur Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\" : une colonne obligatoire est arrivée vide. D'où vient le null, et la solution.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":606,"title":607,"description":608,"published":609,"category":535,"image":610,"draft":539},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\" : où est passée la session","\"Auth session missing!\" : supabase-js n'a trouvé aucune session connectée et n'a même pas interrogé Supabase. Où est passée la session, et la solution.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":612,"title":613,"description":614,"published":615,"category":535,"image":616,"draft":539},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\" : personne de connecté","\"invalid claim: missing sub claim\" : Supabase Auth a reçu un vrai jeton qui ne nomme personne, la clé du projet à la place d'une session.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":618,"title":619,"description":620,"published":621,"category":535,"image":622,"draft":539},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\" : la vraie cause","\"Failed to send a request to the Edge Function\" : le navigateur n'a reçu aucune réponse lisible. Sa console dit pourquoi, et si votre fonction a tourné.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":624,"title":625,"description":626,"published":627,"category":535,"image":628,"draft":539},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Pourquoi les liens e-mail de Supabase redirigent vers localhost:3000","Si Supabase redirige vers localhost:3000, la Site URL n'a jamais été changée ou votre adresse manque dans Redirect URLs. La solution, et le joker à éviter.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":630,"title":631,"description":632,"published":633,"category":535,"image":634,"draft":539},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" sur un lien neuf","Sur un lien envoyé il y a une minute, \"Email link is invalid or has expired\" de Supabase signifie souvent qu'un filtre de messagerie l'a utilisé avant.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":636,"title":637,"description":638,"published":639,"category":535,"image":640,"draft":539},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\" expliqué","Supabase \"canceling statement due to statement timeout\" : une requête a dépassé la limite de son rôle, 3 secondes pour un visiteur. Vérifiez la règle RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":642,"title":643,"description":644,"published":645,"category":646,"image":647,"draft":539},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" sur Supabase, et ce qui part avec","\"Database error deleting user\" sur Supabase : votre base a refusé la suppression. La cause est dans vos logs, et la solution décide de ce qui part avec.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":649,"title":650,"description":651,"published":652,"category":535,"image":653,"draft":539},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" sur Supabase","Un webhook Stripe dans une Edge Function Supabase affiche \"No signatures found matching the expected signature\" ? Deux causes. Gardez la vérification.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":655,"title":656,"description":657,"published":658,"category":535,"image":659,"draft":539},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" dans Supabase : les trois causes","Supabase répond \"Invalid login credentials\" à un mauvais mot de passe, un e-mail inconnu et un compte Google. Comment savoir lequel.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":661,"title":662,"description":663,"published":664,"category":535,"image":665,"draft":539},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\" : la vraie erreur","\"Edge Function returned a non-2xx status code\" signifie que votre fonction Supabase a répondu par une erreur. Voici où lire la vraie.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":667,"title":668,"description":669,"published":670,"category":535,"image":671,"draft":539},"\u002Fblog\u002Fcertificate-not-trusted","Certificat non approuvé : trois causes autres que l’expiration","Certificat non approuvé alors que la date est bonne ? Il nomme une autre adresse, il s’est signé lui-même ou il manque un maillon à sa chaîne.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":673,"title":674,"description":675,"published":676,"category":535,"image":677,"draft":539},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\" : lisez les guillemets","Supabase \"invalid input syntax for type uuid\" : votre app a envoyé autre chose qu'un id. Lisez les guillemets, retenez la requête, gardez la colonne.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":679,"title":680,"description":681,"published":682,"category":535,"image":683,"draft":539},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\" expliqué","Supabase \"duplicate key value violates unique constraint\" : la valeur est déjà prise. Trouver la colonne, choisir un correctif, garder la valeur hors écran.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":685,"title":686,"description":687,"published":688,"category":535,"image":689,"draft":539},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" alors que la table existe","Supabase \"relation does not exist\" ou PGRST205 : aucune table ne porte ce nom dans ce schéma. Quatre vérifications, et ce qu'ouvre un schéma exposé.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":691,"title":692,"description":693,"published":694,"category":535,"image":695,"draft":539},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" cite les noms d'arguments envoyés par votre application. Comparez-les à la fonction.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":697,"title":698,"description":699,"published":700,"category":535,"image":701,"draft":539},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" vient le plus souvent du nom. Quatre vérifications, et la ligne qui recharge le cache.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":571,"title":5,"description":538,"published":572,"category":535,"image":560,"draft":539},{"path":343,"title":704,"description":705,"published":706,"category":535,"image":707,"draft":539},"Supabase \"Invalid Refresh Token: Refresh Token Not Found\" : 3 causes","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" déconnecte vos utilisateurs. Trois causes, et comment le log Auth les distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":709,"title":710,"description":711,"published":712,"category":535,"image":713,"draft":539},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\" : trois causes","Supabase \"permission denied for schema public\" signale un grant manquant sur le schéma. Ce qui l'a retiré, et la ligne qui le remet.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":715,"title":716,"description":717,"published":718,"category":535,"image":719,"draft":539},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\" : les trois choses que cela veut dire","Supabase \"Bucket not found\", c'est une de trois choses : un lien public vers un bucket privé, un nom pas tout à fait exact, ou le mauvais projet.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":721,"title":722,"description":723,"published":724,"category":535,"image":725,"draft":539},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT : quelle clé a cessé de marcher ?","Une erreur Supabase invalid JWT, c'est PGRST301 : un jeton signé n'a pas passé la vérification. Sur un projet récent, c'est la session, pas la clé API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":727,"title":728,"description":729,"published":730,"category":535,"image":731,"draft":539},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" veut dire zéro ligne","Supabase renvoie PGRST116, \"JSON object requested, multiple (or no) rows returned\", quand la requête n'a rien trouvé. Une ligne cachée semble absente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":733,"title":734,"description":735,"published":736,"category":535,"image":737,"draft":539},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" sur Supabase : où regarder","\"Database error saving new user\" veut dire que quelque chose rattaché à votre inscription Supabase a échoué. La vraie erreur est dans vos logs.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":739,"title":740,"description":741,"published":742,"category":535,"image":743,"draft":539},"\u002Fblog\u002Fwhat-is-supabase","Qu'est-ce que Supabase ? La base que votre builder a choisie","Qu'est-ce que Supabase : la base de données, la connexion et le stockage de fichiers de votre app. Les règles sur qui lit vos lignes sont à vous.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":745,"title":746,"description":747,"published":748,"category":535,"image":749,"draft":539},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Une clé AWS exposée dans le frontend n'est pas une clé OpenAI","Une clé d'accès AWS exposée dans votre frontend lit et écrit votre stockage. La solution est en général une presigned URL, pas une nouvelle clé.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":751,"title":752,"description":753,"published":754,"category":535,"image":755,"draft":539},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" à l'upload","\"New row violates row-level security policy for table objects\" signifie que votre upload n'a pas de règle insert. Rendre le bucket public n'en ajoute aucune.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":757,"title":758,"description":759,"published":760,"category":535,"image":761,"draft":539},"\u002Fblog\u002Fbase44-security-scan","Scan de sécurité Base44 : ce que lui seul peut voir","Le scan de sécurité Base44 vérifie sept types de problèmes depuis l’intérieur. Voici la moitié que lui seul lit, et celle qu’il ne regarde jamais.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":763,"title":764,"description":765,"published":766,"category":535,"image":767,"draft":539},"\u002Fblog\u002Fapi-key-leaked-what-to-do","Votre clé API a fuité. L'ordre dans lequel agir","Une clé API a fuité et vous ne savez pas par quoi commencer. Toutes les clés de votre frontend n'en sont pas une, et l'ordre compte plus que la vitesse.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":769,"title":770,"description":771,"published":772,"category":535,"image":773,"draft":539},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" sans désactiver RLS","\"Infinite recursion detected in policy for relation\" signifie que votre policy a interrogé la table qu'elle protège. Voici comment rompre le cercle.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":775,"title":776,"description":777,"published":778,"category":535,"image":779,"draft":539},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" sur Supabase, et le mauvais correctif","\"No API key found in request\" veut dire que votre requête est arrivée sans clé. La plupart des réponses pointent vers les règles de votre base.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":781,"title":782,"description":783,"published":784,"category":535,"image":785,"draft":539},"\u002Fblog\u002Fis-base44-safe","Base44 est-il sûr ? Ce que 5 442 applications ont montré","Base44 est-il sûr ? Neuf vérifications sur 5 442 applications Base44 en ligne. Presque toutes ont eu un B, pour des raisons que personne n’a choisies.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":787,"title":788,"description":789,"published":790,"category":535,"image":791,"draft":539},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","Cacher une clé API : la déplacer dans une Edge Function Supabase","Cacher une clé API veut dire la sortir du navigateur, et une Edge Function Supabase est le plus petit endroit où la mettre. Deux étapes comptent davantage.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":793,"title":794,"description":795,"published":796,"category":535,"image":797,"draft":539},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Votre fichier .env est-il exposé ? Les douze chemins à vérifier","Votre fichier .env est-il exposé sur votre propre serveur web ? Douze adresses vous le disent, et une réponse signifie que tout son contenu est public.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":799,"title":800,"description":801,"published":802,"category":535,"image":803,"draft":539},"\u002Fblog\u002Fis-v0-safe","Sécurité de v0 : les 1 790 applications scannées ont toutes eu A","La sécurité de v0 mesurée sur 1 790 applications en ligne : toutes ont eu A. Seules 17 citaient une base de données, et c’est surtout cela que ce A mesure.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":805,"title":806,"description":807,"published":808,"category":535,"image":809,"draft":539},"\u002Fblog\u002Fis-bolt-safe","Bolt est-il sûr ? Ce que 1 123 applications Bolt ont montré","Bolt est-il sûr ? Neuf vérifications sur 1 123 applications Bolt en ligne. L’hébergement était propre. Les trouvailles : des clés et des tables ouvertes.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":121,"title":811,"description":812,"published":813,"category":535,"image":814,"draft":539},"Supabase en panne, ou est-ce votre app ? Comment le savoir","Supabase est-il en panne, ou est-ce votre app ? Un projet en pause, une base pleine et un bug chez vous se ressemblent. Quatre vérifications les séparent.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":816,"title":817,"description":818,"published":819,"category":535,"image":820,"draft":539},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase chiffre-t-il mes données ? Oui. Ce que cela arrête","Supabase chiffre-t-il les données ? Oui : AES-256 au repos, TLS en transit, SOC 2 et ISO 27001. Ce que couvre chacun, et la fuite qu'aucun n'arrête.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":351,"title":822,"description":823,"published":824,"category":535,"image":825,"draft":539},"Limites du plan gratuit Supabase : ce qui se passe à chacune","Les limites du plan gratuit Supabase : 500 Mo de base, 5 Go d'egress, aucune sauvegarde. Ce qui se passe à chaque seuil, et ce que change Pro à $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":827,"title":828,"description":829,"published":830,"category":646,"image":831,"draft":539},"\u002Fblog\u002Ftest-your-supabase-backup","Testez votre sauvegarde Supabase avant d'en avoir besoin","Comment tester votre sauvegarde Supabase : la restaurer dans un projet d'exercice, compter les lignes, se connecter, chercher la ligne qui manque.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":833,"title":834,"description":835,"published":836,"category":646,"image":837,"draft":539},"\u002Fblog\u002Fsupabase-backup-github-action","Sauvegarde Supabase gratuite avec une GitHub Action, et le piège","Une sauvegarde Supabase par GitHub Action est gratuite et convient à beaucoup d'apps. Le workflow, la bonne connection string et l'egress de chaque run.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":839,"title":840,"description":841,"published":842,"category":646,"image":843,"draft":539},"\u002Fblog\u002Fdownload-your-supabase-backup","Pourquoi vous ne pouvez pas télécharger votre sauvegarde Supabase","Impossible de télécharger votre sauvegarde Supabase sur un projet récent : la copie quotidienne est physique. Comment le vérifier et garder la vôtre.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":845,"title":846,"description":847,"published":842,"category":535,"image":848,"draft":539},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\" : le grant manquant","Dès le 30 octobre, une nouvelle table Supabase répond \"permission denied for table\" tant que l'accès n'est pas accordé. Le grant de l'e-mail est la moitié.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":850,"title":851,"description":852,"published":853,"category":535,"image":854,"draft":539},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint d'API ouvert est-il un problème de sécurité ?","Votre scan a signalé un endpoint d'API ouvert. Que cela compte dépend de ce qui est revenu, et la plupart de ceux trouvés étaient à la plateforme.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":856,"title":857,"description":858,"published":859,"category":535,"image":860,"draft":539},"\u002Fblog\u002Flovable-security-scan","Scan de sécurité Lovable : ce qu’il ne peut pas prouver","Scan de sécurité Lovable : ce que vérifient le Quick scan et le Deep scan, quand chacun part, et la seule chose qu’un scan de l’intérieur ne prouve pas.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":862,"title":863,"description":864,"published":865,"category":646,"image":866,"draft":539},"\u002Fblog\u002Fsupabase-backup-auth-users","Pourquoi votre dump Supabase ne contient aucun utilisateur","Lancez supabase db dump tout seul et vous obtenez la forme de votre base et aucune de ses lignes, sans le schéma auth où vivent vos utilisateurs.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":868,"title":869,"description":870,"published":871,"category":535,"image":872,"draft":539},"\u002Fblog\u002Fdomain-and-certificate-expiry","Domaine expiré, site hors ligne : ce qui se passe ensuite","Votre domaine a expiré et votre site est hors ligne. Le compte à rebours qui démarre, pourquoi le certificat est le moindre souci, et comment vérifier les deux.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":874,"title":875,"description":876,"published":877,"category":535,"image":878,"draft":539},"\u002Fblog\u002Fis-lovable-safe","Lovable est-il sûr ? Ce que 18 554 applications Lovable ont montré","Lovable est-il sûr ? 18 554 applications, neuf vérifications. La plateforme était la plus propre des cinq. Les trouvailles étaient dans les applications.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":880,"title":881,"description":882,"published":883,"category":535,"image":884,"draft":539},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist de sécurité du vibe coding, en neuf vérifications","Une checklist de sécurité du vibe coding en neuf points, chacun vérifiable de l’extérieur sur votre appli en ligne, et chacun avec un test d’une ligne.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":886,"title":887,"description":888,"published":889,"category":535,"image":890,"draft":539},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Une clé secrète Stripe dans votre frontend peut déplacer de l’argent","Une clé secrète Stripe exposée dans votre frontend peut rembourser, débiter et lire chaque fiche client que vous détenez. Votre clé pk_live_ y a sa place.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":892,"title":893,"description":894,"published":895,"category":535,"image":896,"draft":539},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variables d’environnement Vite exposées : le préfixe dit publier","Variables d’environnement Vite exposées : votre appli a fait ce que le préfixe demandait. VITE_ et NEXT_PUBLIC_ veulent dire publier, et l’IA ignorait le prix.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":898,"title":899,"description":900,"published":901,"category":535,"image":902,"draft":539},"\u002Fblog\u002Fbase44-source-maps","Sécurité Base44 : ce qu’un scan signale, et ce qui dépend de vous","Sécurité Base44 sur 5 438 applis : trois signalements sur presque chacune sont ceux de la plateforme, la source map est le badge Base44, votre part est courte.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":904,"title":905,"description":906,"published":907,"category":535,"image":908,"draft":539},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI est-il sûr ? L’éditeur, le code et l’appli publiée","Cursor AI est-il sûr ? Trois questions dans une recherche : ce que Cursor garde, ce que son code rate, et si l’appli que vous avez publiée est ouverte.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":910,"title":911,"description":912,"published":913,"category":535,"image":914,"draft":539},"\u002Fblog\u002Fis-replit-safe","Replit est-il sûr ? Ce que 3 042 applications Replit nous ont montré","Replit est-il sûr ? 3 042 applications Replit en ligne, neuf vérifications externes. Les trouvailles étaient dans l’application publiée, pas chez l’hébergeur.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":916,"title":917,"description":918,"published":919,"category":646,"image":920,"draft":539},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup : votre copie de base n'a aucun fichier","Un Supabase storage backup est une tâche à part. Les sauvegardes de la base gardent la liste de vos fichiers et aucun des fichiers, donc chaque upload casse.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":922,"title":923,"description":924,"published":925,"category":646,"image":926,"draft":539},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery Supabase : prix et limites","Le point-in-time recovery de Supabase rembobine votre base à la seconde près sur la dernière semaine. $100 par mois en plus de Pro, et rien que la base.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":928,"title":929,"description":930,"published":931,"category":646,"image":932,"draft":539},"\u002Fblog\u002Fsupabase-project-paused-recover","Projet Supabase en pause ? Vos données sont toujours là","Supabase a mis votre projet en pause après une semaine sans activité. Rien n'est supprimé, Restaurer est à côté du nom, et vous avez un an pour cliquer.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":934,"title":935,"description":936,"published":937,"category":535,"image":938,"draft":539},"\u002Fblog\u002Fsafest-ai-app-builder","Quel builder d'app IA est le plus sûr ? 30 998 apps testées","Quel builder d'app IA est le plus sûr ? Nous avons scanné 30 998 apps actives de Lovable, Base44, Replit, v0 et Bolt. Ce n'est pas le builder qui décide.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":940,"title":941,"description":942,"published":943,"category":535,"image":944,"draft":539},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Activer Row Level Security sur chaque table Supabase, et le prouver","Activer Row Level Security dans Supabase sans politique ferme la table entièrement. Une politique sans le réglage ne fait rien. Voici le SQL, et le test.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":946,"title":947,"description":948,"published":949,"category":535,"image":950,"draft":539},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\" : ce que l'alerte rate","Supabase signale \"RLS disabled in public\" comme une erreur. Elle ne dit rien de la politique de lecture qui laisse votre table tout aussi ouverte.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":952,"title":953,"description":954,"published":955,"category":535,"image":956,"draft":539},"\u002Fblog\u002Frotate-supabase-service-role-key","Faire tourner une clé service_role Supabase qui a fuité","Supabase dit de colmater la fuite d'abord. D'autres guides disent de faire tourner la clé tout de suite. Tout dépend d'où votre clé service_role a fuité.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":958,"title":959,"description":960,"published":961,"category":535,"image":962,"draft":539},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanners de sécurité vibe coding comparés, le nôtre compris","Le meilleur scanner de sécurité vibe coding tient à trois questions qu'aucune liste de fonctions ne traite. Huit outils comparés, avec les prix.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":964,"title":965,"description":966,"published":967,"category":535,"image":968,"draft":539},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker : les cinq vérifications à faire soi-même","Un Supabase security checker lit votre app publiée plutôt que les réglages de votre projet. Voici les cinq vérifications, et comment faire chacune vous-même.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":970,"title":971,"description":972,"published":973,"category":535,"image":974,"draft":539},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner de sécurité vibe coding : ce qu’un scan d’URL rate","Un scanner de sécurité vibe coding lit votre app en ligne depuis l’extérieur. Ce qu’il couvre, les quatre choses qu’il ne voit pas, et comment lire le résultat.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":976,"title":977,"description":978,"published":979,"category":535,"image":980,"draft":539},"\u002Fblog\u002Fmissing-security-headers","En-têtes de sécurité manquants : quand cela compte","Les en-têtes de sécurité manquants sont notre constat le plus fréquent. Contre quoi ils protègent, et quand ils comptent le moins dans votre rapport.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":982,"title":983,"description":984,"published":985,"category":535,"image":986,"draft":539},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","Votre clé API OpenAI est exposée dans votre frontend. Changez-la.","Une clé API OpenAI exposée dans votre frontend ne peut être liée à aucun domaine. Changez-la aujourd'hui, passez par votre serveur et plafonnez la dépense.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":988,"title":989,"description":990,"published":991,"category":535,"image":992,"draft":539},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Clé API exposée dans le frontend : ce que 30 998 applis livrent","Une clé API exposée dans votre frontend est le plus souvent une clé Google Maps. Nous avons scanné 30 998 applis vibe-codées et compté ce qui fuit vraiment.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":994,"title":995,"description":996,"published":997,"category":646,"image":998,"draft":539},"\u002Fblog\u002Fsupabase-backup-tools-compared","Outils de sauvegarde Supabase comparés, le nôtre compris","Quatre familles d'outil de sauvegarde Supabase, ce que chacun copie vraiment, et quand une GitHub Action gratuite bat le fait de payer, nous compris.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1000,"title":1001,"description":1002,"published":1003,"category":535,"image":1004,"draft":539},"\u002Fblog\u002Freplit-secrets-explained","Utiliser les secrets sur Replit, et ce qui est publié quand même","Utiliser les secrets sur Replit : en ajouter un, le relire, corriger les deux causes du undefined. Et les clés que l'outil Secrets ne peut pas protéger.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1006,"title":1007,"description":1008,"published":1009,"category":646,"image":1010,"draft":539},"\u002Fblog\u002Fback-up-supabase-free-tier","Sauvegardes du plan gratuit Supabase : en faire une sans terminal","Le plan gratuit de Supabase ne fait aucune sauvegarde : la copie vient de vous. Comment la faire depuis le tableau de bord, et ce que le CSV oublie.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1012,"title":1013,"description":1014,"published":1015,"category":535,"image":1016,"draft":539},"\u002Fblog\u002Fis-supabase-secure","Supabase est-il sûr ? Oui. Votre projet est une autre question","Supabase est-il sûr ? La plateforme est auditée, chiffrée et testée en intrusion. Sa documentation dit où cela s'arrête et où vos réglages commencent.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1018,"title":1019,"description":1020,"published":1021,"category":535,"image":1022,"draft":539},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Où trouver vos clés API Supabase : anon, service_role et URL","L'URL du projet, la clé anon et la clé service_role tiennent sur une page du tableau de bord. Voici où elle est, et laquelle des quatre va dans votre app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1024,"title":1025,"description":1026,"published":1027,"category":535,"image":1028,"draft":539},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy sur Supabase : et après ?","\"New row violates row-level security policy\" signifie que Supabase a refusé une écriture. Le correctif rapide rouvre la table à tout le monde.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1030,"title":1031,"description":1032,"published":1033,"category":535,"image":1034,"draft":539},"\u002Fblog\u002Fcors-wildcard-security-risk","Un joker CORS est-il un risque de sécurité ? Rarement.","Un joker CORS est-il un risque de sécurité ? C'est souvent le réglage par défaut de votre builder, et il ne livre rien que votre serveur ne donnait déjà.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1036,"title":1037,"description":1038,"published":1039,"category":646,"image":1040,"draft":539},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Le branching Supabase n'est pas une sauvegarde de vos données.","Pourquoi le branching Supabase n'est pas une sauvegarde : une branche démarre sans vos données, et un merge ne déplace que le schéma. À quoi il sert vraiment.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1042,"title":1043,"description":1044,"published":1045,"category":646,"image":1046,"draft":539},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Restaurer une sauvegarde Supabase, et ce qui casse après","Restaurer une sauvegarde Supabase depuis le tableau de bord ou un fichier de dump, ce que la restauration remplace et pourquoi votre app peut rester cassée.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1048,"title":1049,"description":1050,"published":1051,"category":535,"image":1052,"draft":539},"\u002Fblog\u002Fsupabase-storage-bucket-public","Votre bucket Supabase Storage est public. Est-ce un problème ?","Un bucket Supabase Storage public signifie que celui qui a l'URL d'un fichier peut l'ouvrir. Il ne signifie pas que quelqu'un peut lister ce qu'il contient.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1054,"title":1055,"description":1056,"published":1057,"category":535,"image":1058,"draft":539},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Une clé API Google dans votre frontend, est-ce un problème ?","Une clé API Google exposée dans votre frontend est la clé que notre scanner trouve le plus souvent, et en général tout va bien. Un réglage gratuit tranche.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1060,"title":1061,"description":1062,"published":1063,"category":646,"image":1064,"draft":539},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agent IA a supprimé mes données Supabase. Que puis-je récupérer ?","Un agent IA a supprimé des données de votre base. Ce que vous pouvez récupérer était déjà décidé avant, et les prochaines minutes décident du reste.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1066,"title":1067,"description":1068,"published":1069,"category":535,"image":1070,"draft":539},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Qui peut lire votre base Supabase ? Nous avons testé 3 680 apps","N'importe qui peut-il lire votre base de données Supabase sans se connecter ? Nous avons scanné 30 998 apps en ligne créées avec des builders IA.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1072,"title":1073,"description":1074,"published":1069,"category":535,"image":1075,"draft":539},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source maps exposées : votre app publie son code original","Une source map exposée laisse n'importe qui lire le code original de votre app, commentaires compris. Le test de 30 secondes, et ce qui compte vraiment.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1077,"title":1078,"description":1079,"published":1080,"category":535,"image":1081,"draft":539},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key : la même chose que l'anon key ?","Supabase a remplacé anon et service_role par des clés publiables et secrètes. Laquelle a sa place dans votre app, et laquelle jamais ?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1083,"title":1084,"description":1085,"published":1086,"category":646,"image":1087,"draft":539},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase sauvegarde-t-il ma base de données ? Cela dépend du plan.","Supabase sauvegarde-t-il votre base de données ? Chaque jour sur les plans payants, jamais sur le gratuit. Comment savoir ce que vous avez vraiment.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1089,"title":1090,"description":1091,"published":1092,"category":535,"image":1093,"draft":539},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security est activé. La table reste publique.","Activer Supabase Row Level Security ne protège pas une table. Ce sont vos politiques, et celle qui a réparé votre app laisse peut-être entrer tout le monde.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1095,"title":1096,"description":1097,"published":1092,"category":646,"image":1098,"draft":539},"\u002Fblog\u002Fversion-history-is-not-a-backup","L'historique des versions n'est pas une sauvegarde de vos données.","Lovable et Bolt tiennent un historique des versions de votre code. Votre base de données est un service à part, et revenir en arrière ne la ramène pas.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1100,"title":1101,"description":1102,"published":1103,"category":646,"image":1104,"draft":539},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Trois façons de sauvegarder une base Supabase, et ce qui manque","Le tableau de bord, pg_dump et un service géré. Ce que chacun enregistre, ce qu'il laisse de côté sans le dire, et lequel survit à la perte du compte.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1106,"title":1107,"description":1108,"published":1103,"category":535,"image":1109,"draft":539},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quelles clés API sont sûres côté navigateur, et lesquelles non","Votre clé anon Supabase est faite pour être publique. Votre clé service_role non, et elle ignore toutes les règles que vous posez. Comment les distinguer.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213641990]