[{"data":1,"prerenderedAt":1136},["ShallowReactive",2],{"blog-fr-supabase-invalid-login":3,"blog-index-fr":607},{"id":4,"title":5,"body":6,"category":565,"cover":566,"coverAlt":567,"description":568,"draft":569,"extension":570,"faq":571,"image":587,"keywords":588,"meta":595,"navigation":596,"ogTitle":597,"path":598,"published":599,"seo":600,"stem":601,"tldr":602,"updated":599,"__hash__":606},"blog_fr\u002Fblog\u002Fsupabase-invalid-login.md","\"Invalid login credentials\" dans Supabase : les trois causes",{"type":7,"value":8,"toc":552},"minimark",[9,13,24,27,35,40,43,64,94,97,101,104,110,116,122,131,137,141,148,161,168,174,177,255,262,266,269,272,275,288,292,295,306,332,335,339,342,345,348,357,368,378,385,390,394,397,433,436,442,445,449,452,461,475,484,504,508,539],[10,11,12],"p",{},"Quelqu'un vous écrit qu'il n'arrive pas à se connecter à votre app, et il est\nsûr que le mot de passe est bon. Vous essayez son adresse vous-même et obtenez la\nmême ligne rouge sous le formulaire :",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","Invalid login credentials\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26],{},"Supabase répond \"Invalid login credentials\" à un mauvais mot de passe. Il répond\nexactement les mêmes mots à deux autres personnes : quelqu'un dont l'e-mail n'a\npas de compte dans votre app, et quelqu'un qui s'est inscrit avec Google et n'a\njamais eu de mot de passe. Votre app Lovable, Bolt, v0, Cursor, Claude Code ou\nReplit fonctionne comme elle a été construite. Elle donne une seule réponse à\ntrois situations différentes.",[10,28,29,30,34],{},"Voici ce que la correction évidente fait de travers : ",[31,32,33],"strong",{},"le message vague est\ndélibéré, et le rendre plus utile ouvre une faille."," Ce qui aide, c'est de\nsavoir lequel des trois cas vous avez devant vous, ce que votre propre tableau de\nbord peut vous dire, pendant que le formulaire continue d'en dire aussi peu\nqu'aujourd'hui.",[36,37,39],"h2",{"id":38},"que-signifie-invalid-login-credentials-dans-supabase","Que signifie \"Invalid login credentials\" dans Supabase ?",[10,41,42],{},"Cela signifie que Supabase Auth, la partie de Supabase qui connecte les gens, a\nrefusé un e-mail et un mot de passe et garde la raison pour lui.",[10,44,45,46,53,54,57,58,63],{},"Le message est écrit dans le code même du serveur Auth. Dans\n",[47,48,52],"a",{"href":49,"rel":50},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Ftoken.go",[51],"nofollow","la fonction qui traite une connexion par mot de passe",",\nla même erreur est renvoyée à trois endroits : quand aucun utilisateur n'a cet\ne-mail, quand l'utilisateur n'a pas de mot de passe enregistré, et quand le mot\nde passe ne correspond pas. À chaque fois, la réponse est un HTTP 400 avec le\ncode ",[21,55,56],{},"invalid_credentials",", que la\n",[47,59,62],{"href":60,"rel":61},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fdebugging\u002Ferror-codes",[51],"référence des codes d'erreur","\nde Supabase décrit comme \"Login credentials or grant type not recognized.\"",[10,65,66,67,70,71,74,75,78,79,81,82,84,85,88,89,93],{},"Dans votre app, elle arrive sous la forme d'une ",[21,68,69],{},"AuthApiError"," venant de\n",[21,72,73],{},"signInWithPassword",", avec ",[21,76,77],{},"error.code"," égal à ",[21,80,56],{},". La même\nréférence demande d'identifier les erreurs toujours par ",[21,83,77],{}," et\n",[21,86,87],{},"error.name",", et cela compte plus loin, quand vous déciderez de ce que dit votre\nformulaire. Si vos utilisateurs étaient connectés puis ont été éjectés, c'est\nune autre erreur, avec ",[47,90,92],{"href":91},"\u002Fblog\u002Fsupabase-users-logged-out","sa propre page",".",[10,95,96],{},"Imaginez votre formulaire de connexion comme le digicode à côté de la porte d'un\nimmeuble. Un visiteur tape un code et un voyant répond. Le vert ouvre la porte.\nLe rouge s'allume pour un mauvais code, pour un code qui n'a jamais été donné à\npersonne, et pour un résident qui est toujours entré par la porte latérale avec\nun badge et n'a jamais eu de code.",[36,98,100],{"id":99},"les-trois-personnes-derrière-le-message","Les trois personnes derrière le message",[10,102,103],{},"Chacune demande une correction différente, il vaut donc la peine de savoir\nlaquelle vous avez devant vous.",[10,105,106,109],{},[31,107,108],{},"Le mauvais mot de passe."," Le compte existe, il a un mot de passe, et ce qui a\nété tapé ne correspond pas. Cela inclut un mot de passe changé sur un autre\nappareil puis oublié, et un gestionnaire de mots de passe qui remplit un ancien.",[10,111,112,115],{},[31,113,114],{},"L'adresse sans compte."," Personne dans votre projet ne s'est inscrit avec cet\ne-mail. Ce peut être une deuxième adresse (celle du travail, quand la personne\ns'est inscrite avec sa personnelle) ou une faute de frappe à l'inscription,\ndésormais enregistrée comme son e-mail.",[10,117,118,121],{},[31,119,120],{},"Le compte sans mot de passe."," La personne s'est inscrite avec Google, GitHub\nou un autre bouton de connexion, et Supabase n'a jamais enregistré de mot de\npasse pour elle. Quand elle revient et en tape un, il n'y a rien à comparer. Le\nserveur Auth vérifie qu'un mot de passe est enregistré avant de regarder celui\nqui est tapé, et un compte sans mot de passe reçoit le même 400.",[10,123,124,125,130],{},"Les personnes inscrites avec un magic link, le lien de connexion envoyé par\ne-mail, sont une variante du premier cas. Le\n",[47,126,129],{"href":127,"rel":128},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Fmagic_link.go",[51],"code des magic links","\nde Supabase crée leur compte avec un mot de passe aléatoire que personne ne voit\njamais, donc tout mot de passe qu'elles tapent est faux.",[132,133],"diagram",{"alt":134,"caption":135,"src":136},"Trois personnes se dirigent vers le même digicode : l'une tient une clé qui ne correspond pas, l'autre est dessinée en pointillés parce qu'aucun compte n'existe pour elle, la troisième porte un badge au lieu d'une clé. Leurs trois chemins se rejoignent au digicode, son unique voyant s'allume en rouge, et une seule réponse identique en sort.","Un mauvais mot de passe, une adresse inconnue et un compte sans mot de passe arrivent au même contrôle et reçoivent la même réponse.","\u002Fblog\u002Fsupabase-invalid-login\u002Fthree-people-one-light-1600x760.png",[36,138,140],{"id":139},"comment-savoir-de-quel-cas-il-sagit","Comment savoir de quel cas il s'agit ?",[10,142,143,144,147],{},"Demandez à votre propre base de données. Chaque compte de votre projet est une\nligne dans une table appelée ",[21,145,146],{},"auth.users",", et cette ligne dit comment la personne\nse connecte.",[10,149,150,151,156,157,160],{},"Le ",[47,152,155],{"href":153,"rel":154},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fusers",[51],"guide des utilisateurs"," de\nSupabase décrit le champ qui compte : selon Supabase, ",[21,158,159],{},"app_metadata.providers","\nest la liste des fournisseurs avec lesquels l'utilisateur peut se connecter. Un\nutilisateur peut avoir plusieurs identités, donc une même personne peut avoir à\nla fois un mot de passe et Google. La présence d'un mot de passe figure dans la\ncolonne que le serveur vérifie lui-même.",[10,162,163,164,167],{},"Ouvrez le ",[31,165,166],{},"SQL Editor"," de votre tableau de bord Supabase et lancez ceci avec\nl'adresse que la personne vous a donnée :",[14,169,172],{"className":170,"code":171,"language":19},[17],"select email,\n       raw_app_meta_data->'providers' as signs_in_with,\n       coalesce(encrypted_password, '') \u003C> '' as has_password,\n       email_confirmed_at\nfrom auth.users\nwhere lower(email) = lower('person@example.com');\n",[21,173,171],{"__ignoreMap":23},[10,175,176],{},"La requête lit une ligne et ne montre jamais de mot de passe, seulement s'il en\nexiste un.",[178,179,180,193],"table",{},[181,182,183],"thead",{},[184,185,186,190],"tr",{},[187,188,189],"th",{},"Ce qui revient",[187,191,192],{},"Ce que cela veut dire",[194,195,196,205,232,244],"tbody",{},[184,197,198,202],{},[199,200,201],"td",{},"Aucune ligne",[199,203,204],{},"Aucun compte n'a cette adresse dans ce projet. Demandez quelle autre adresse la personne a pu utiliser",[184,206,207,229],{},[199,208,209,212,213,216,217,220,221,224,225,228],{},[21,210,211],{},"has_password"," vaut ",[21,214,215],{},"false",", et ",[21,218,219],{},"signs_in_with"," contient ",[21,222,223],{},"google",", ",[21,226,227],{},"github"," ou autre",[199,230,231],{},"La personne s'est inscrite avec ce bouton et n'a jamais eu de mot de passe",[184,233,234,241],{},[199,235,236,212,238],{},[21,237,211],{},[21,239,240],{},"true",[199,242,243],{},"Le mot de passe tapé est faux, ou la personne s'est inscrite avec un magic link et n'a jamais connu le sien",[184,245,246,252],{},[199,247,248,251],{},[21,249,250],{},"email_confirmed_at"," est vide",[199,253,254],{},"L'e-mail n'est pas encore confirmé, ce qui donne un autre message une fois le mot de passe correct",[10,256,257,258,261],{},"Si vous préférez cliquer plutôt que taper, ",[31,259,260],{},"Authentication → Users"," dans le\ntableau de bord affiche les mêmes comptes.",[36,263,265],{"id":264},"le-compte-qui-na-jamais-eu-de-mot-de-passe","Le compte qui n'a jamais eu de mot de passe",[10,267,268],{},"Renvoyez la personne vers le bouton qu'elle a utilisé, ou laissez-la définir un\nmot de passe avec votre lien de réinitialisation.",[10,270,271],{},"Au digicode, c'est le résident qui a toujours pris la porte latérale. Aucun code\nn'est enregistré pour lui, donc chaque code qu'il essaie est refusé.",[10,273,274],{},"La première réparation se fait sur votre page de connexion. Si l'inscription\npropose \"Continuer avec Google\", la page de connexion a besoin du même bouton,\npour que quelqu'un qui s'est inscrit avec le voie en revenant.",[10,276,277,278,283,284,287],{},"Si la personne veut aussi un mot de passe, votre lien \"Mot de passe oublié ?\" le\npermet déjà. Le\n",[47,279,282],{"href":280,"rel":281},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Frecover.go",[51],"code de réinitialisation du mot de passe","\nde Supabase envoie l'e-mail de récupération à tout compte qu'il trouve, sans\nvérifier comment le compte a été créé. Un utilisateur Google qui suit le lien et\ndéfinit un nouveau mot de passe peut ensuite se connecter des deux façons. Cela\nsuppose que votre app a la page qui définit le nouveau mot de passe, celle qui\nappelle ",[21,285,286],{},"supabase.auth.updateUser({ password })",". Si le lien mène à une page qui\nn'en demande jamais, la personne est connectée une fois et n'a toujours pas de\nmot de passe.",[36,289,291],{"id":290},"email-not-confirmed-veut-dire-que-le-mot-de-passe-était-bon","\"Email not confirmed\" veut dire que le mot de passe était bon",[10,293,294],{},"C'est un autre message avec un autre code, et il n'atteint que quelqu'un qui a\ndéjà passé le contrôle du mot de passe.",[10,296,297,298,301,302,305],{},"Dans la même fonction du serveur Auth, la vérification de l'e-mail confirmé vient\naprès celle du mot de passe. ",[21,299,300],{},"Email not confirmed",", code ",[21,303,304],{},"email_not_confirmed",",\nne revient donc qu'à quelqu'un qui a tapé un e-mail existant et son bon mot de\npasse. La référence des erreurs de Supabase le formule ainsi : \"Signing in is\nnot allowed for this user as the email address is not confirmed.\" Au digicode,\nc'est un autre voyant : le code était bon, et la porte reste fermée tant que les\npapiers d'emménagement ne sont pas terminés.",[10,307,308,309,312,313,318,319,322,323,327,328,93],{},"Vous le voyez quand ",[31,310,311],{},"Confirm email"," est activé pour le fournisseur Email de\nvotre projet. Selon le\n",[47,314,317],{"href":315,"rel":316},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fgeneral-configuration",[51],"guide de configuration","\nde Supabase, les utilisateurs doivent alors confirmer leur adresse e-mail avant\nde se connecter pour la première fois. La correction, c'est l'e-mail sur lequel\nla personne n'a pas encore cliqué : dites-lui de vérifier sa boîte de réception\net ses spams, et proposez de le renvoyer avec\n",[21,320,321],{},"supabase.auth.resend({ type: 'signup', email })",". Si ces e-mails n'arrivent pas\ndu tout, ",[47,324,326],{"href":325},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","la limite d'envoi d'e-mails","\nest la première chose à écarter. S'ils arrivent et que le lien répond \"Email\nlink is invalid or has expired\",\n",[47,329,331],{"href":330},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","quelque chose l'a sans doute ouvert avant la personne",[10,333,334],{},"Comme ce message n'apparaît qu'après un bon mot de passe, dire à la personne de\nvérifier sa boîte ne donne à un inconnu rien qu'il n'avait déjà.",[36,336,338],{"id":337},"pourquoi-le-message-reste-vague","Pourquoi le message reste vague",[10,340,341],{},"Parce que la version utile dirait à des inconnus qui sont vos utilisateurs.",[10,343,344],{},"Imaginez que le digicode réponde \"personne n'habite au 4B\". N'importe quel\npassant pourrait parcourir la liste des appartements et savoir lesquels sont\noccupés.",[10,346,347],{},"Votre formulaire fonctionne de la même façon. S'il disait \"Aucun compte avec cet\ne-mail\", quiconque détient une liste d'adresses pourrait les taper une par une et\nsavoir lesquelles appartiennent à vos utilisateurs. Une fuite de données sur un\nautre site laisse une liste de ce genre derrière elle, parfois avec les mots de\npasse que les gens y utilisaient. Qui sait quelles adresses sont vos utilisateurs\nsait de qui il vaut la peine d'essayer les anciens mots de passe sur votre app,\net qui ouvrira sans doute un e-mail qui semble venir de vous.",[10,349,350,351,356],{},"Supabase applique la même règle partout où l'on saisit une adresse. Son\n",[47,352,355],{"href":353,"rel":354},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Fsignup.go",[51],"code d'inscription",",\nquand on lui demande de créer un compte pour un e-mail déjà enregistré et\nconfirmé, peut renvoyer un utilisateur inventé avec un identifiant aléatoire, via\nune fonction dont le commentaire dit qu'elle existe pour éviter de laisser\nfuiter si un utilisateur est enregistré ou non. La réinitialisation du mot de\npasse répond à une adresse inconnue par le même succès vide qu'à une adresse\nconnue.",[10,358,359,360,363,364,367],{},"Côté inscription, il y a un interrupteur que vous contrôlez. Cet utilisateur\ninventé est ce qui revient quand la confirmation est exigée à la fois pour les\ninscriptions par e-mail et par téléphone. Si l'une des deux est désactivée (celle\ndu téléphone compte même si votre app n'utilise jamais la connexion par\ntéléphone), une adresse enregistrée reçoit ",[21,361,362],{},"User already registered",", code\n",[21,365,366],{},"user_already_exists",", et votre formulaire d'inscription devient lui-même un\nvérificateur de listes.",[10,369,370,371,374,375,377],{},"Le message utile doit aussi venir de quelque part. Supabase ne dit pas à votre\napp si un e-mail a un compte, donc pour afficher \"Aucun compte avec cet e-mail\",\nvotre app doit le découvrir elle-même. Cela veut dire une recherche qui\nfonctionne pour un visiteur non connecté : une lecture de votre table ",[21,372,373],{},"profiles","\nqui ne réussit que si n'importe qui peut lire les e-mails qu'elle contient, ou\nune fonction de base de données qui cherche dans ",[21,376,146],{}," pour quiconque\ndemande. Dans les deux cas, la liste de vos utilisateurs devient lisible de\nl'extérieur.",[10,379,380,381,93],{},"La première se voit de l'extérieur, et c'est ainsi que notre scan gratuit la\ncherche. Il demande à chaque table que votre app nomme combien de lignes un\nvisiteur sans connexion pourrait obtenir, ne lit que le nombre, et prend environ\n20 secondes, sans compte : ",[47,382,384],{"href":383},"\u002Fsecurity-scanner","scannez votre app",[132,386],{"alt":387,"caption":388,"src":389},"Une pile d'adresses e-mail passe dans deux formulaires de connexion. Celui du haut nomme les comptes manquants, et la pile ressort séparée en deux tas, l'un coché et l'autre barré, le tas coché surligné en ambre. Celui du bas donne la même réponse à chaque adresse, et la pile ressort en un seul tas uniforme.","Un formulaire qui nomme un compte manquant trie n'importe quelle liste d'adresses entre vos utilisateurs et tous les autres. Une seule réponse pour tous laisse la liste telle quelle.","\u002Fblog\u002Fsupabase-invalid-login\u002Fthe-list-checker-1600x720.png",[36,391,393],{"id":392},"ce-quil-faut-mettre-sur-votre-page-de-connexion","Ce qu'il faut mettre sur votre page de connexion",[10,395,396],{},"Gardez le message vague et mettez toutes les façons de revenir sur la même page.",[398,399,400,407,413,419],"ul",{},[401,402,403,406],"li",{},[31,404,405],{},"Un seul message pour les trois cas",", en mots simples, avec les autres\nchemins juste à côté : \"L'e-mail et le mot de passe ne correspondent pas. Si\nvous vous êtes inscrit avec Google, utilisez le bouton ci-dessous.\" Il aide\nl'utilisateur Google et n'apprend à un inconnu rien que votre page\nd'inscription ne dise déjà.",[401,408,409,412],{},[31,410,411],{},"Toutes les méthodes de votre page d'inscription."," Le bouton Google, le\nmagic link et le champ mot de passe, tous aussi sur la page de connexion.",[401,414,415,418],{},[31,416,417],{},"Un lien \"Mot de passe oublié ?\" vers une page qui en définit un."," Supabase\ny répond de la même façon à chaque adresse, il peut donc rester visible, et\nc'est ainsi qu'une personne sans mot de passe en obtient un.",[401,420,421,426,427,429,430,432],{},[31,422,423,424,93],{},"Des décisions selon ",[21,425,77],{}," Affichez votre message vague pour\n",[21,428,56],{},", et \"vérifiez votre boîte de réception\" avec un bouton\nde renvoi pour ",[21,431,304],{},". La référence des erreurs de Supabase\ndemande d'identifier les erreurs par leur code plutôt que par le texte du\nmessage, et prévient que les codes de statut HTTP peuvent changer sans\nprévenir.",[10,434,435],{},"En code, ce sont deux branches :",[14,437,440],{"className":438,"code":439,"language":19},[17],"const { error } = await supabase.auth.signInWithPassword({ email, password })\nif (error?.code === 'email_not_confirmed') showCheckYourInbox(email)\nelse if (error) showSignInHelp()\n",[21,441,439],{"__ignoreMap":23},[10,443,444],{},"Si un builder écrit votre page de connexion, vous pouvez lui coller ces quatre\npoints comme consigne, y compris celui sur ce que la page doit garder pour elle.",[36,446,448],{"id":447},"garder-votre-page-de-connexion-telle-que-vous-lavez-laissée","Garder votre page de connexion telle que vous l'avez laissée",[10,450,451],{},"Deux choses peuvent encore mal tourner après aujourd'hui : un prompt ultérieur\nréécrit la page pour la rendre \"plus utile\", et un changement ailleurs perd les\ncomptes auxquels la page donne accès.",[10,453,454],{},[31,455,456,460],{},[47,457,459],{"href":458},"\u002Fwebsite-monitoring","Reeve Monitor"," continue de vérifier depuis l'extérieur :",[398,462,463,466,469,472],{},[401,464,465],{},"les neuf vérifications toutes les heures, sur jusqu'à trois apps, dont le nombre de lignes qu'un visiteur sans connexion peut compter dans les tables que votre app nomme",[401,467,468],{},"un e-mail le jour où un nouveau scan note votre app moins bien que le précédent",[401,470,471],{},"si l'app répond, toutes les 60 secondes",[401,473,474],{},"un rapport mensuel, en langage clair, de ce qu'il a vu",[10,476,477],{},[31,478,479,483],{},[47,480,482],{"href":481},"\u002Fsupabase-backups","Reeve Care"," garde une copie de votre base de données\nSupabase, comptes compris :",[398,485,486,489,492,495,498,501],{},[401,487,488],{},"une copie chiffrée selon un calendrier, sur le stockage propre de Reeve dans l'UE, en dehors de votre compte Supabase",[401,490,491],{},"le schéma auth où vivent les comptes de vos utilisateurs, pour qu'ils reviennent avec tout le reste",[401,493,494],{},"chaque copie vérifiée avant de compter, en comptant les lignes de chaque table",[401,496,497],{},"vos fichiers envoyés aussi, dès que vous connectez un accès Storage",[401,499,500],{},"une restauration en un clic, avec une copie de sécurité de l'état actuel prise d'abord",[401,502,503],{},"tout ce que fait Monitor",[36,505,507],{"id":506},"que-faire-maintenant","Que faire maintenant",[509,510,511],"key-takeaways",{},[398,512,513,519,522,525,528,536],{},[401,514,515,516,518],{},"Lancez la requête sur ",[21,517,146],{}," avec l'adresse que la personne vous a donnée, et lisez lequel des trois cas c'est.",[401,520,521],{},"Aucune ligne : demandez avec quelle autre adresse elle a pu s'inscrire.",[401,523,524],{},"Pas de mot de passe : renvoyez-la vers le bouton Google ou GitHub qu'elle a utilisé, ou vers votre lien de réinitialisation.",[401,526,527],{},"Un mot de passe, et toujours refusé : envoyez-lui le lien de réinitialisation.",[401,529,530,531,533,534,93],{},"Affichez un message vague pour ",[21,532,56],{},", et \"vérifiez votre boîte de réception\" seulement pour ",[21,535,304],{},[401,537,538],{},"N'ajoutez jamais de contrôle qui dise à un visiteur si un e-mail a un compte.",[10,540,541,542,546,547,551],{},"Si le problème commence une étape plus tôt et que les nouveaux comptes ne sont\nmême pas créés, ",[47,543,545],{"href":544},"\u002Fblog\u002Fdatabase-error-saving-new-user","Database error saving new user","\ncouvre ce bout-là du formulaire. La\n",[47,548,550],{"href":549},"\u002Fchecklist","checklist de sécurité en 10 minutes"," couvre ce qui reste souvent\nouvert dans une app qui vient d'être lancée.",{"title":23,"searchDepth":553,"depth":553,"links":554},3,[555,557,558,559,560,561,562,563,564],{"id":38,"depth":556,"text":39},2,{"id":99,"depth":556,"text":100},{"id":139,"depth":556,"text":140},{"id":264,"depth":556,"text":265},{"id":290,"depth":556,"text":291},{"id":337,"depth":556,"text":338},{"id":392,"depth":556,"text":393},{"id":447,"depth":556,"text":448},{"id":506,"depth":556,"text":507},"Bases de la sécurité","\u002Fblog\u002Fsupabase-invalid-login\u002Fcover-1200x630.png","Un digicode à côté d'une porte, son unique voyant allumé en rouge, et devant lui un badge pour lequel le digicode n'a pas de fente.","Supabase répond \"Invalid login credentials\" à un mauvais mot de passe, un e-mail inconnu et un compte Google. Comment savoir lequel.",false,"md",[572,575,578,581,584],{"q":573,"a":574},"Pourquoi Supabase dit-il \"Invalid login credentials\" alors que le mot de passe est bon ?","Parce que le mot de passe peut être bon pour un compte qui n'existe pas, ou que le compte n'a peut-être aucun mot de passe. Vérifiez que l'e-mail est celui utilisé à l'inscription, et si la personne s'est inscrite avec Google ou un autre bouton de connexion, ce qui laisse le compte sans mot de passe. Une requête sur auth.users dans le SQL Editor montre de quel cas il s'agit.",{"q":576,"a":577},"\"Invalid login credentials\" veut-il dire que le compte n'existe pas ?","Parfois. Supabase renvoie le même message, avec le même code, invalid_credentials, quand aucun compte n'a cet e-mail, quand le compte n'a pas de mot de passe et quand le mot de passe est faux. Le message seul ne dit pas lequel, et il est conçu ainsi.",{"q":579,"a":580},"Pourquoi un utilisateur inscrit avec Google ne peut-il pas se connecter avec un mot de passe ?","Parce que son compte a été créé sans mot de passe. Supabase vérifie qu'un mot de passe est enregistré avant de comparer celui qui est tapé, et un compte sans mot de passe reçoit \"Invalid login credentials\". La personne peut continuer à utiliser le bouton Google, ou utiliser le lien de réinitialisation de votre app pour en définir un : Supabase envoie cet e-mail à tout compte qu'il trouve, quelle que soit la façon dont il a été créé.",{"q":582,"a":583},"Mon formulaire de connexion doit-il dire que l'e-mail n'est pas enregistré ?","Non. Ce message dit à quiconque tape une adresse si elle appartient à l'un de vos utilisateurs, et quelqu'un qui possède une liste d'adresses fuitées peut toutes les vérifier. Votre app aurait aussi besoin d'une recherche qui réponde à cette question pour des inconnus, et c'est une deuxième faille. Gardez le message vague et montrez les autres façons de se connecter.",{"q":585,"a":586},"Quelle différence entre \"Invalid login credentials\" et \"Email not confirmed\" ?","Supabase ne renvoie \"Email not confirmed\" qu'après avoir vérifié le mot de passe et l'avoir trouvé correct. La bonne personne a donc tapé le bon mot de passe, et le compte attend qu'elle clique sur le lien de son e-mail de confirmation. Vous pouvez sans risque lui dire de vérifier sa boîte de réception et lui proposer de renvoyer l'e-mail.","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",[589,590,591,592,56,593,594],"invalid login credentials supabase","invalid login credentials","supabase connexion ne fonctionne pas","email not confirmed supabase","supabase user enumeration","supabase utilisateur google sans mot de passe",{},true,"\"Invalid login credentials\" dans Supabase","\u002Fblog\u002Fsupabase-invalid-login","2026-10-28",{"title":5,"description":568},"blog\u002Fsupabase-invalid-login",[603,604,605],"Supabase répond \"Invalid login credentials\" à trois personnes différentes : quelqu'un qui a tapé le mauvais mot de passe, quelqu'un dont l'e-mail n'a pas de compte, et quelqu'un qui s'est inscrit avec Google et n'a jamais eu de mot de passe.","C'est voulu. Un formulaire de connexion qui dirait lequel des trois cas c'était apprendrait à quiconque détient une liste d'adresses e-mail lesquelles appartiennent à vos utilisateurs.","Vous pouvez distinguer les trois vous-même avec une requête sur auth.users. Votre page de connexion doit garder le message vague et proposer toutes les façons dont le compte a pu être créé.","V6M2aioFhsBlmRr4cIbp3-DQusH1wbZA1A-CNp6CXgw",[608,614,620,626,632,638,644,650,656,661,667,674,680,681,687,693,699,705,711,717,723,728,733,739,745,751,757,762,768,774,780,786,792,798,804,810,816,822,828,834,840,846,852,858,864,870,875,881,887,893,899,905,911,917,923,929,935,941,947,953,959,965,971,977,983,989,995,1001,1007,1013,1019,1025,1031,1037,1043,1049,1055,1061,1067,1073,1079,1085,1091,1097,1102,1108,1114,1120,1125,1131],{"path":609,"title":610,"description":611,"published":612,"category":565,"image":613,"draft":569},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\" expliqué","Supabase \"max client connections reached\" : le pooler n'a plus de place pour un client de plus. Le port de votre chaîne de connexion fixe la limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":615,"title":616,"description":617,"published":618,"category":565,"image":619,"draft":569},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Erreur Supabase : \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\" : la connexion Google est désactivée dans votre projet Supabase. Comment l'activer, et redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":621,"title":622,"description":623,"published":624,"category":565,"image":625,"draft":569},"\u002Fblog\u002Fviolates-foreign-key-constraint","Erreur Supabase \"violates foreign key constraint\" à l'insertion","Supabase \"insert or update on table violates foreign key constraint\" : votre ligne pointe vers une ligne absente. Laquelle, pourquoi, et la solution.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":627,"title":628,"description":629,"published":630,"category":565,"image":631,"draft":569},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Erreur Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\" : une colonne obligatoire est arrivée vide. D'où vient le null, et la solution.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":633,"title":634,"description":635,"published":636,"category":565,"image":637,"draft":569},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\" : où est passée la session","\"Auth session missing!\" : supabase-js n'a trouvé aucune session connectée et n'a même pas interrogé Supabase. Où est passée la session, et la solution.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":639,"title":640,"description":641,"published":642,"category":565,"image":643,"draft":569},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\" : personne de connecté","\"invalid claim: missing sub claim\" : Supabase Auth a reçu un vrai jeton qui ne nomme personne, la clé du projet à la place d'une session.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":645,"title":646,"description":647,"published":648,"category":565,"image":649,"draft":569},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\" : la vraie cause","\"Failed to send a request to the Edge Function\" : le navigateur n'a reçu aucune réponse lisible. Sa console dit pourquoi, et si votre fonction a tourné.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":651,"title":652,"description":653,"published":654,"category":565,"image":655,"draft":569},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Pourquoi les liens e-mail de Supabase redirigent vers localhost:3000","Si Supabase redirige vers localhost:3000, la Site URL n'a jamais été changée ou votre adresse manque dans Redirect URLs. La solution, et le joker à éviter.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":330,"title":657,"description":658,"published":659,"category":565,"image":660,"draft":569},"Supabase \"Email link is invalid or has expired\" sur un lien neuf","Sur un lien envoyé il y a une minute, \"Email link is invalid or has expired\" de Supabase signifie souvent qu'un filtre de messagerie l'a utilisé avant.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":662,"title":663,"description":664,"published":665,"category":565,"image":666,"draft":569},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\" expliqué","Supabase \"canceling statement due to statement timeout\" : une requête a dépassé la limite de son rôle, 3 secondes pour un visiteur. Vérifiez la règle RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":668,"title":669,"description":670,"published":671,"category":672,"image":673,"draft":569},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" sur Supabase, et ce qui part avec","\"Database error deleting user\" sur Supabase : votre base a refusé la suppression. La cause est dans vos logs, et la solution décide de ce qui part avec.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":675,"title":676,"description":677,"published":678,"category":565,"image":679,"draft":569},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" sur Supabase","Un webhook Stripe dans une Edge Function Supabase affiche \"No signatures found matching the expected signature\" ? Deux causes. Gardez la vérification.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":598,"title":5,"description":568,"published":599,"category":565,"image":587,"draft":569},{"path":682,"title":683,"description":684,"published":685,"category":565,"image":686,"draft":569},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\" : la vraie erreur","\"Edge Function returned a non-2xx status code\" signifie que votre fonction Supabase a répondu par une erreur. Voici où lire la vraie.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":688,"title":689,"description":690,"published":691,"category":565,"image":692,"draft":569},"\u002Fblog\u002Fcertificate-not-trusted","Certificat non approuvé : trois causes autres que l’expiration","Certificat non approuvé alors que la date est bonne ? Il nomme une autre adresse, il s’est signé lui-même ou il manque un maillon à sa chaîne.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":694,"title":695,"description":696,"published":697,"category":565,"image":698,"draft":569},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\" : lisez les guillemets","Supabase \"invalid input syntax for type uuid\" : votre app a envoyé autre chose qu'un id. Lisez les guillemets, retenez la requête, gardez la colonne.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":700,"title":701,"description":702,"published":703,"category":565,"image":704,"draft":569},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\" expliqué","Supabase \"duplicate key value violates unique constraint\" : la valeur est déjà prise. Trouver la colonne, choisir un correctif, garder la valeur hors écran.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":706,"title":707,"description":708,"published":709,"category":565,"image":710,"draft":569},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" alors que la table existe","Supabase \"relation does not exist\" ou PGRST205 : aucune table ne porte ce nom dans ce schéma. Quatre vérifications, et ce qu'ouvre un schéma exposé.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":712,"title":713,"description":714,"published":715,"category":565,"image":716,"draft":569},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" cite les noms d'arguments envoyés par votre application. Comparez-les à la fonction.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":718,"title":719,"description":720,"published":721,"category":565,"image":722,"draft":569},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" vient le plus souvent du nom. Quatre vérifications, et la ligne qui recharge le cache.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":325,"title":724,"description":725,"published":726,"category":565,"image":727,"draft":569},"Supabase \"Email Rate Limit Exceeded\" : deux limites, un code","Supabase \"Email Rate Limit Exceeded\" plafonne chaque e-mail de votre projet : 2 par heure avec l'expéditeur intégré. Ce qui compte, et comment le relever.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":91,"title":729,"description":730,"published":731,"category":565,"image":732,"draft":569},"Supabase \"Invalid Refresh Token: Refresh Token Not Found\" : 3 causes","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" déconnecte vos utilisateurs. Trois causes, et comment le log Auth les distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":734,"title":735,"description":736,"published":737,"category":565,"image":738,"draft":569},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\" : trois causes","Supabase \"permission denied for schema public\" signale un grant manquant sur le schéma. Ce qui l'a retiré, et la ligne qui le remet.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":740,"title":741,"description":742,"published":743,"category":565,"image":744,"draft":569},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\" : les trois choses que cela veut dire","Supabase \"Bucket not found\", c'est une de trois choses : un lien public vers un bucket privé, un nom pas tout à fait exact, ou le mauvais projet.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":746,"title":747,"description":748,"published":749,"category":565,"image":750,"draft":569},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT : quelle clé a cessé de marcher ?","Une erreur Supabase invalid JWT, c'est PGRST301 : un jeton signé n'a pas passé la vérification. Sur un projet récent, c'est la session, pas la clé API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":752,"title":753,"description":754,"published":755,"category":565,"image":756,"draft":569},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" veut dire zéro ligne","Supabase renvoie PGRST116, \"JSON object requested, multiple (or no) rows returned\", quand la requête n'a rien trouvé. Une ligne cachée semble absente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":544,"title":758,"description":759,"published":760,"category":565,"image":761,"draft":569},"\"Database error saving new user\" sur Supabase : où regarder","\"Database error saving new user\" veut dire que quelque chose rattaché à votre inscription Supabase a échoué. La vraie erreur est dans vos logs.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":763,"title":764,"description":765,"published":766,"category":565,"image":767,"draft":569},"\u002Fblog\u002Fwhat-is-supabase","Qu'est-ce que Supabase ? La base que votre builder a choisie","Qu'est-ce que Supabase : la base de données, la connexion et le stockage de fichiers de votre app. Les règles sur qui lit vos lignes sont à vous.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":769,"title":770,"description":771,"published":772,"category":565,"image":773,"draft":569},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Une clé AWS exposée dans le frontend n'est pas une clé OpenAI","Une clé d'accès AWS exposée dans votre frontend lit et écrit votre stockage. La solution est en général une presigned URL, pas une nouvelle clé.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":775,"title":776,"description":777,"published":778,"category":565,"image":779,"draft":569},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" à l'upload","\"New row violates row-level security policy for table objects\" signifie que votre upload n'a pas de règle insert. Rendre le bucket public n'en ajoute aucune.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":781,"title":782,"description":783,"published":784,"category":565,"image":785,"draft":569},"\u002Fblog\u002Fbase44-security-scan","Scan de sécurité Base44 : ce que lui seul peut voir","Le scan de sécurité Base44 vérifie sept types de problèmes depuis l’intérieur. Voici la moitié que lui seul lit, et celle qu’il ne regarde jamais.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":787,"title":788,"description":789,"published":790,"category":565,"image":791,"draft":569},"\u002Fblog\u002Fapi-key-leaked-what-to-do","Votre clé API a fuité. L'ordre dans lequel agir","Une clé API a fuité et vous ne savez pas par quoi commencer. Toutes les clés de votre frontend n'en sont pas une, et l'ordre compte plus que la vitesse.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":793,"title":794,"description":795,"published":796,"category":565,"image":797,"draft":569},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" sans désactiver RLS","\"Infinite recursion detected in policy for relation\" signifie que votre policy a interrogé la table qu'elle protège. Voici comment rompre le cercle.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":799,"title":800,"description":801,"published":802,"category":565,"image":803,"draft":569},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" sur Supabase, et le mauvais correctif","\"No API key found in request\" veut dire que votre requête est arrivée sans clé. La plupart des réponses pointent vers les règles de votre base.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":805,"title":806,"description":807,"published":808,"category":565,"image":809,"draft":569},"\u002Fblog\u002Fis-base44-safe","Base44 est-il sûr ? Ce que 5 442 applications ont montré","Base44 est-il sûr ? Neuf vérifications sur 5 442 applications Base44 en ligne. Presque toutes ont eu un B, pour des raisons que personne n’a choisies.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":811,"title":812,"description":813,"published":814,"category":565,"image":815,"draft":569},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","Cacher une clé API : la déplacer dans une Edge Function Supabase","Cacher une clé API veut dire la sortir du navigateur, et une Edge Function Supabase est le plus petit endroit où la mettre. Deux étapes comptent davantage.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":817,"title":818,"description":819,"published":820,"category":565,"image":821,"draft":569},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Votre fichier .env est-il exposé ? Les douze chemins à vérifier","Votre fichier .env est-il exposé sur votre propre serveur web ? Douze adresses vous le disent, et une réponse signifie que tout son contenu est public.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":823,"title":824,"description":825,"published":826,"category":565,"image":827,"draft":569},"\u002Fblog\u002Fis-v0-safe","Sécurité de v0 : les 1 790 applications scannées ont toutes eu A","La sécurité de v0 mesurée sur 1 790 applications en ligne : toutes ont eu A. Seules 17 citaient une base de données, et c’est surtout cela que ce A mesure.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":829,"title":830,"description":831,"published":832,"category":565,"image":833,"draft":569},"\u002Fblog\u002Fis-bolt-safe","Bolt est-il sûr ? Ce que 1 123 applications Bolt ont montré","Bolt est-il sûr ? Neuf vérifications sur 1 123 applications Bolt en ligne. L’hébergement était propre. Les trouvailles : des clés et des tables ouvertes.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":835,"title":836,"description":837,"published":838,"category":565,"image":839,"draft":569},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase en panne, ou est-ce votre app ? Comment le savoir","Supabase est-il en panne, ou est-ce votre app ? Un projet en pause, une base pleine et un bug chez vous se ressemblent. Quatre vérifications les séparent.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":841,"title":842,"description":843,"published":844,"category":565,"image":845,"draft":569},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase chiffre-t-il mes données ? Oui. Ce que cela arrête","Supabase chiffre-t-il les données ? Oui : AES-256 au repos, TLS en transit, SOC 2 et ISO 27001. Ce que couvre chacun, et la fuite qu'aucun n'arrête.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":847,"title":848,"description":849,"published":850,"category":565,"image":851,"draft":569},"\u002Fblog\u002Fsupabase-free-plan-limits","Limites du plan gratuit Supabase : ce qui se passe à chacune","Les limites du plan gratuit Supabase : 500 Mo de base, 5 Go d'egress, aucune sauvegarde. Ce qui se passe à chaque seuil, et ce que change Pro à $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":853,"title":854,"description":855,"published":856,"category":672,"image":857,"draft":569},"\u002Fblog\u002Ftest-your-supabase-backup","Testez votre sauvegarde Supabase avant d'en avoir besoin","Comment tester votre sauvegarde Supabase : la restaurer dans un projet d'exercice, compter les lignes, se connecter, chercher la ligne qui manque.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":859,"title":860,"description":861,"published":862,"category":672,"image":863,"draft":569},"\u002Fblog\u002Fsupabase-backup-github-action","Sauvegarde Supabase gratuite avec une GitHub Action, et le piège","Une sauvegarde Supabase par GitHub Action est gratuite et convient à beaucoup d'apps. Le workflow, la bonne connection string et l'egress de chaque run.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":865,"title":866,"description":867,"published":868,"category":672,"image":869,"draft":569},"\u002Fblog\u002Fdownload-your-supabase-backup","Pourquoi vous ne pouvez pas télécharger votre sauvegarde Supabase","Impossible de télécharger votre sauvegarde Supabase sur un projet récent : la copie quotidienne est physique. Comment le vérifier et garder la vôtre.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":871,"title":872,"description":873,"published":868,"category":565,"image":874,"draft":569},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\" : le grant manquant","Dès le 30 octobre, une nouvelle table Supabase répond \"permission denied for table\" tant que l'accès n'est pas accordé. Le grant de l'e-mail est la moitié.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":876,"title":877,"description":878,"published":879,"category":565,"image":880,"draft":569},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint d'API ouvert est-il un problème de sécurité ?","Votre scan a signalé un endpoint d'API ouvert. Que cela compte dépend de ce qui est revenu, et la plupart de ceux trouvés étaient à la plateforme.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":882,"title":883,"description":884,"published":885,"category":565,"image":886,"draft":569},"\u002Fblog\u002Flovable-security-scan","Scan de sécurité Lovable : ce qu’il ne peut pas prouver","Scan de sécurité Lovable : ce que vérifient le Quick scan et le Deep scan, quand chacun part, et la seule chose qu’un scan de l’intérieur ne prouve pas.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":888,"title":889,"description":890,"published":891,"category":672,"image":892,"draft":569},"\u002Fblog\u002Fsupabase-backup-auth-users","Pourquoi votre dump Supabase ne contient aucun utilisateur","Lancez supabase db dump tout seul et vous obtenez la forme de votre base et aucune de ses lignes, sans le schéma auth où vivent vos utilisateurs.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":894,"title":895,"description":896,"published":897,"category":565,"image":898,"draft":569},"\u002Fblog\u002Fdomain-and-certificate-expiry","Domaine expiré, site hors ligne : ce qui se passe ensuite","Votre domaine a expiré et votre site est hors ligne. Le compte à rebours qui démarre, pourquoi le certificat est le moindre souci, et comment vérifier les deux.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":900,"title":901,"description":902,"published":903,"category":565,"image":904,"draft":569},"\u002Fblog\u002Fis-lovable-safe","Lovable est-il sûr ? Ce que 18 554 applications Lovable ont montré","Lovable est-il sûr ? 18 554 applications, neuf vérifications. La plateforme était la plus propre des cinq. Les trouvailles étaient dans les applications.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":906,"title":907,"description":908,"published":909,"category":565,"image":910,"draft":569},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist de sécurité du vibe coding, en neuf vérifications","Une checklist de sécurité du vibe coding en neuf points, chacun vérifiable de l’extérieur sur votre appli en ligne, et chacun avec un test d’une ligne.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":912,"title":913,"description":914,"published":915,"category":565,"image":916,"draft":569},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Une clé secrète Stripe dans votre frontend peut déplacer de l’argent","Une clé secrète Stripe exposée dans votre frontend peut rembourser, débiter et lire chaque fiche client que vous détenez. Votre clé pk_live_ y a sa place.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":918,"title":919,"description":920,"published":921,"category":565,"image":922,"draft":569},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variables d’environnement Vite exposées : le préfixe dit publier","Variables d’environnement Vite exposées : votre appli a fait ce que le préfixe demandait. VITE_ et NEXT_PUBLIC_ veulent dire publier, et l’IA ignorait le prix.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":924,"title":925,"description":926,"published":927,"category":565,"image":928,"draft":569},"\u002Fblog\u002Fbase44-source-maps","Sécurité Base44 : ce qu’un scan signale, et ce qui dépend de vous","Sécurité Base44 sur 5 438 applis : trois signalements sur presque chacune sont ceux de la plateforme, la source map est le badge Base44, votre part est courte.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":930,"title":931,"description":932,"published":933,"category":565,"image":934,"draft":569},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI est-il sûr ? L’éditeur, le code et l’appli publiée","Cursor AI est-il sûr ? Trois questions dans une recherche : ce que Cursor garde, ce que son code rate, et si l’appli que vous avez publiée est ouverte.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":936,"title":937,"description":938,"published":939,"category":565,"image":940,"draft":569},"\u002Fblog\u002Fis-replit-safe","Replit est-il sûr ? Ce que 3 042 applications Replit nous ont montré","Replit est-il sûr ? 3 042 applications Replit en ligne, neuf vérifications externes. Les trouvailles étaient dans l’application publiée, pas chez l’hébergeur.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":942,"title":943,"description":944,"published":945,"category":672,"image":946,"draft":569},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup : votre copie de base n'a aucun fichier","Un Supabase storage backup est une tâche à part. Les sauvegardes de la base gardent la liste de vos fichiers et aucun des fichiers, donc chaque upload casse.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":948,"title":949,"description":950,"published":951,"category":672,"image":952,"draft":569},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery Supabase : prix et limites","Le point-in-time recovery de Supabase rembobine votre base à la seconde près sur la dernière semaine. $100 par mois en plus de Pro, et rien que la base.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":954,"title":955,"description":956,"published":957,"category":672,"image":958,"draft":569},"\u002Fblog\u002Fsupabase-project-paused-recover","Projet Supabase en pause ? Vos données sont toujours là","Supabase a mis votre projet en pause après une semaine sans activité. Rien n'est supprimé, Restaurer est à côté du nom, et vous avez un an pour cliquer.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":960,"title":961,"description":962,"published":963,"category":565,"image":964,"draft":569},"\u002Fblog\u002Fsafest-ai-app-builder","Quel builder d'app IA est le plus sûr ? 30 998 apps testées","Quel builder d'app IA est le plus sûr ? Nous avons scanné 30 998 apps actives de Lovable, Base44, Replit, v0 et Bolt. Ce n'est pas le builder qui décide.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":966,"title":967,"description":968,"published":969,"category":565,"image":970,"draft":569},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Activer Row Level Security sur chaque table Supabase, et le prouver","Activer Row Level Security dans Supabase sans politique ferme la table entièrement. Une politique sans le réglage ne fait rien. Voici le SQL, et le test.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":972,"title":973,"description":974,"published":975,"category":565,"image":976,"draft":569},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\" : ce que l'alerte rate","Supabase signale \"RLS disabled in public\" comme une erreur. Elle ne dit rien de la politique de lecture qui laisse votre table tout aussi ouverte.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":978,"title":979,"description":980,"published":981,"category":565,"image":982,"draft":569},"\u002Fblog\u002Frotate-supabase-service-role-key","Faire tourner une clé service_role Supabase qui a fuité","Supabase dit de colmater la fuite d'abord. D'autres guides disent de faire tourner la clé tout de suite. Tout dépend d'où votre clé service_role a fuité.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":984,"title":985,"description":986,"published":987,"category":565,"image":988,"draft":569},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanners de sécurité vibe coding comparés, le nôtre compris","Le meilleur scanner de sécurité vibe coding tient à trois questions qu'aucune liste de fonctions ne traite. Huit outils comparés, avec les prix.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":990,"title":991,"description":992,"published":993,"category":565,"image":994,"draft":569},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker : les cinq vérifications à faire soi-même","Un Supabase security checker lit votre app publiée plutôt que les réglages de votre projet. Voici les cinq vérifications, et comment faire chacune vous-même.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":996,"title":997,"description":998,"published":999,"category":565,"image":1000,"draft":569},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner de sécurité vibe coding : ce qu’un scan d’URL rate","Un scanner de sécurité vibe coding lit votre app en ligne depuis l’extérieur. Ce qu’il couvre, les quatre choses qu’il ne voit pas, et comment lire le résultat.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":1002,"title":1003,"description":1004,"published":1005,"category":565,"image":1006,"draft":569},"\u002Fblog\u002Fmissing-security-headers","En-têtes de sécurité manquants : quand cela compte","Les en-têtes de sécurité manquants sont notre constat le plus fréquent. Contre quoi ils protègent, et quand ils comptent le moins dans votre rapport.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1008,"title":1009,"description":1010,"published":1011,"category":565,"image":1012,"draft":569},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","Votre clé API OpenAI est exposée dans votre frontend. Changez-la.","Une clé API OpenAI exposée dans votre frontend ne peut être liée à aucun domaine. Changez-la aujourd'hui, passez par votre serveur et plafonnez la dépense.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1014,"title":1015,"description":1016,"published":1017,"category":565,"image":1018,"draft":569},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Clé API exposée dans le frontend : ce que 30 998 applis livrent","Une clé API exposée dans votre frontend est le plus souvent une clé Google Maps. Nous avons scanné 30 998 applis vibe-codées et compté ce qui fuit vraiment.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1020,"title":1021,"description":1022,"published":1023,"category":672,"image":1024,"draft":569},"\u002Fblog\u002Fsupabase-backup-tools-compared","Outils de sauvegarde Supabase comparés, le nôtre compris","Quatre familles d'outil de sauvegarde Supabase, ce que chacun copie vraiment, et quand une GitHub Action gratuite bat le fait de payer, nous compris.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1026,"title":1027,"description":1028,"published":1029,"category":565,"image":1030,"draft":569},"\u002Fblog\u002Freplit-secrets-explained","Utiliser les secrets sur Replit, et ce qui est publié quand même","Utiliser les secrets sur Replit : en ajouter un, le relire, corriger les deux causes du undefined. Et les clés que l'outil Secrets ne peut pas protéger.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1032,"title":1033,"description":1034,"published":1035,"category":672,"image":1036,"draft":569},"\u002Fblog\u002Fback-up-supabase-free-tier","Sauvegardes du plan gratuit Supabase : en faire une sans terminal","Le plan gratuit de Supabase ne fait aucune sauvegarde : la copie vient de vous. Comment la faire depuis le tableau de bord, et ce que le CSV oublie.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1038,"title":1039,"description":1040,"published":1041,"category":565,"image":1042,"draft":569},"\u002Fblog\u002Fis-supabase-secure","Supabase est-il sûr ? Oui. Votre projet est une autre question","Supabase est-il sûr ? La plateforme est auditée, chiffrée et testée en intrusion. Sa documentation dit où cela s'arrête et où vos réglages commencent.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1044,"title":1045,"description":1046,"published":1047,"category":565,"image":1048,"draft":569},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Où trouver vos clés API Supabase : anon, service_role et URL","L'URL du projet, la clé anon et la clé service_role tiennent sur une page du tableau de bord. Voici où elle est, et laquelle des quatre va dans votre app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1050,"title":1051,"description":1052,"published":1053,"category":565,"image":1054,"draft":569},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy sur Supabase : et après ?","\"New row violates row-level security policy\" signifie que Supabase a refusé une écriture. Le correctif rapide rouvre la table à tout le monde.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1056,"title":1057,"description":1058,"published":1059,"category":565,"image":1060,"draft":569},"\u002Fblog\u002Fcors-wildcard-security-risk","Un joker CORS est-il un risque de sécurité ? Rarement.","Un joker CORS est-il un risque de sécurité ? C'est souvent le réglage par défaut de votre builder, et il ne livre rien que votre serveur ne donnait déjà.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1062,"title":1063,"description":1064,"published":1065,"category":672,"image":1066,"draft":569},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Le branching Supabase n'est pas une sauvegarde de vos données.","Pourquoi le branching Supabase n'est pas une sauvegarde : une branche démarre sans vos données, et un merge ne déplace que le schéma. À quoi il sert vraiment.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1068,"title":1069,"description":1070,"published":1071,"category":672,"image":1072,"draft":569},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Restaurer une sauvegarde Supabase, et ce qui casse après","Restaurer une sauvegarde Supabase depuis le tableau de bord ou un fichier de dump, ce que la restauration remplace et pourquoi votre app peut rester cassée.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1074,"title":1075,"description":1076,"published":1077,"category":565,"image":1078,"draft":569},"\u002Fblog\u002Fsupabase-storage-bucket-public","Votre bucket Supabase Storage est public. Est-ce un problème ?","Un bucket Supabase Storage public signifie que celui qui a l'URL d'un fichier peut l'ouvrir. Il ne signifie pas que quelqu'un peut lister ce qu'il contient.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1080,"title":1081,"description":1082,"published":1083,"category":565,"image":1084,"draft":569},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Une clé API Google dans votre frontend, est-ce un problème ?","Une clé API Google exposée dans votre frontend est la clé que notre scanner trouve le plus souvent, et en général tout va bien. Un réglage gratuit tranche.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1086,"title":1087,"description":1088,"published":1089,"category":672,"image":1090,"draft":569},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agent IA a supprimé mes données Supabase. Que puis-je récupérer ?","Un agent IA a supprimé des données de votre base. Ce que vous pouvez récupérer était déjà décidé avant, et les prochaines minutes décident du reste.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1092,"title":1093,"description":1094,"published":1095,"category":565,"image":1096,"draft":569},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Qui peut lire votre base Supabase ? Nous avons testé 3 680 apps","N'importe qui peut-il lire votre base de données Supabase sans se connecter ? Nous avons scanné 30 998 apps en ligne créées avec des builders IA.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1098,"title":1099,"description":1100,"published":1095,"category":565,"image":1101,"draft":569},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source maps exposées : votre app publie son code original","Une source map exposée laisse n'importe qui lire le code original de votre app, commentaires compris. Le test de 30 secondes, et ce qui compte vraiment.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1103,"title":1104,"description":1105,"published":1106,"category":565,"image":1107,"draft":569},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key : la même chose que l'anon key ?","Supabase a remplacé anon et service_role par des clés publiables et secrètes. Laquelle a sa place dans votre app, et laquelle jamais ?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1109,"title":1110,"description":1111,"published":1112,"category":672,"image":1113,"draft":569},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase sauvegarde-t-il ma base de données ? Cela dépend du plan.","Supabase sauvegarde-t-il votre base de données ? Chaque jour sur les plans payants, jamais sur le gratuit. Comment savoir ce que vous avez vraiment.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1115,"title":1116,"description":1117,"published":1118,"category":565,"image":1119,"draft":569},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security est activé. La table reste publique.","Activer Supabase Row Level Security ne protège pas une table. Ce sont vos politiques, et celle qui a réparé votre app laisse peut-être entrer tout le monde.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1121,"title":1122,"description":1123,"published":1118,"category":672,"image":1124,"draft":569},"\u002Fblog\u002Fversion-history-is-not-a-backup","L'historique des versions n'est pas une sauvegarde de vos données.","Lovable et Bolt tiennent un historique des versions de votre code. Votre base de données est un service à part, et revenir en arrière ne la ramène pas.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1126,"title":1127,"description":1128,"published":1129,"category":672,"image":1130,"draft":569},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Trois façons de sauvegarder une base Supabase, et ce qui manque","Le tableau de bord, pg_dump et un service géré. Ce que chacun enregistre, ce qu'il laisse de côté sans le dire, et lequel survit à la perte du compte.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1132,"title":1133,"description":1134,"published":1129,"category":565,"image":1135,"draft":569},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quelles clés API sont sûres côté navigateur, et lesquelles non","Votre clé anon Supabase est faite pour être publique. Votre clé service_role non, et elle ignore toutes les règles que vous posez. Comment les distinguer.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213641890]