[{"data":1,"prerenderedAt":1151},["ShallowReactive",2],{"blog-it-auth-session-missing":3,"blog-index-it":625},{"id":4,"title":5,"body":6,"category":583,"cover":584,"coverAlt":585,"description":586,"draft":587,"extension":588,"faq":589,"image":604,"keywords":605,"meta":613,"navigation":614,"ogTitle":615,"path":616,"published":617,"seo":618,"stem":619,"tldr":620,"updated":617,"__hash__":624},"blog_it\u002Fblog\u002Fauth-session-missing.md","Supabase \"Auth session missing!\": dove è finita la sessione",{"type":7,"value":8,"toc":571},"minimark",[9,13,24,27,43,48,51,54,72,75,81,85,90,108,116,123,150,153,159,169,173,176,185,211,236,245,257,262,266,269,294,300,317,333,337,340,349,359,365,368,374,380,398,408,412,415,432,450,457,461,467,476,490,500,517,521,558],[10,11,12],"p",{},"La tua app Lovable o Bolt fa entrare le persone con Supabase. Una mattina apri\nla console del browser e trovi questo in rosso, su una pagina dove niente sembra\nsbagliato:",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","AuthSessionMissingError: Auth session missing!\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26],{},"Oppure una cliente ti scrive che la pagina \"Scegli una nuova password\" la\nrespinge con queste stesse parole, ogni volta.",[10,28,29,30,33,34,37,38,42],{},"Cerca \"auth session missing supabase\" e troverai discussioni piene di\ncorrezioni: sostituire ",[21,31,32],{},"getUser()"," con ",[21,35,36],{},"getSession()",", tornare a una versione\nprecedente della libreria, aggiungere un'attesa, riavviare il progetto. Danno\nper scontato che qualcosa si sia rotto tra la tua app e Supabase. ",[39,40,41],"strong",{},"Non è\npartita nessuna richiesta."," L'errore nasce dentro la tua app, scritto dalla\nlibreria di Supabase, prima che qualsiasi cosa lasci il browser.",[44,45,47],"h2",{"id":46},"che-cosa-significa-auth-session-missing-in-supabase","Che cosa significa \"Auth session missing!\" in Supabase?",[10,49,50],{},"A supabase-js è stato chiesto chi ha fatto login; ha cercato una sessione, non ne\nha trovata nessuna e ha risposto da sola.",[10,52,53],{},"Una sessione è quello che Supabase Auth consegna a una persona quando fa login:\nuna coppia di token che dicono chi è, tenuti dal browser perché il caricamento di\npagina successivo la riconosca ancora. supabase-js è la libreria con cui la tua\napp parla con Supabase, e ogni chiamata che ha bisogno di una persona comincia\ntirando fuori quella sessione.",[10,55,56,57,60,61,64,65,68,69,71],{},"Il messaggio è scritto in supabase-js stessa, nel file ",[21,58,59],{},"errors.ts"," della libreria\ndi autenticazione: un ",[21,62,63],{},"AuthSessionMissingError"," con il testo\n",[21,66,67],{},"Auth session missing!"," e lo stato 400. Quel 400 è un'etichetta che la libreria\nsi dà da sola. Nessun server ha risposto così, e i log di Supabase non\nmostreranno nulla, perché ",[21,70,32],{}," cerca una sessione prima di fare qualsiasi\naltra cosa. Un commento nel suo codice lo dice: restituisce un errore se non c'è\nné un token di accesso né un header Authorization personalizzato.",[10,73,74],{},"Immagina una reception capace di dirti chi è ogni visitatore. A chiunque faccia\nlogin viene dato un badge all'ingresso, e supabase-js tiene quel badge nella\ntasca del browser. Quando il tuo codice chiede \"chi è questo?\", supabase-js\nguarda prima nella tasca. Se c'è un badge, lo porta alla reception e torna con un\nnome. Se la tasca è vuota, alla reception non ci va nemmeno. Torna subito e ti\ndice che il badge non c'è.",[76,77],"diagram",{"alt":78,"caption":79,"src":80},"Due corsie partono da una finestra del browser. In quella in alto un badge arriva a una reception, che risponde con una persona e un segno di spunta. In quella in basso il porta-badge è vuoto e contornato in ambra, e la corsia si ferma su una croce con 400 accanto, molto prima della reception, che resta spenta e tratteggiata.","Con una sessione, supabase-js chiede a Supabase Auth. Senza, si ferma dentro la tua app, e l'errore viene da lì.","\u002Fblog\u002Fauth-session-missing\u002Fthe-empty-pocket-1600x720.png",[44,82,84],{"id":83},"viene-restituito-non-lanciato","Viene restituito, non lanciato",[10,86,87,89],{},[21,88,32],{}," restituisce l'errore accanto a un utente vuoto, ed è il tuo codice a\ndecidere che cosa succede dopo.",[10,91,92,93,96,97,100,101,104,105,107],{},"La chiamata è questa, e senza sessione ",[21,94,95],{},"user"," è ",[21,98,99],{},"null"," ed ",[21,102,103],{},"error"," contiene\nl'",[21,106,63],{},":",[14,109,114],{"className":110,"code":112,"language":113,"meta":23},[111],"language-ts","const { data: { user }, error } = await supabase.auth.getUser()\n","ts",[21,115,112],{"__ignoreMap":23},[10,117,118,119,122],{},"Non viene lanciato niente, quindi un ",[21,120,121],{},"try … catch"," attorno alla chiamata non\ncattura niente. È da qui che viene il danno visibile, in una di due forme:",[124,125,126,136],"ul",{},[127,128,129,135],"li",{},[39,130,131,132,134],{},"Il codice mostra qualsiasi ",[21,133,103],{}," riceva."," Un visitatore che non ha ancora\nfatto login vede \"Auth session missing!\" in una notifica o in un riquadro\nrosso, su una pagina che poteva vedere.",[127,137,138,141,142,145,146,149],{},[39,139,140],{},"Il codice usa l'utente senza controllare."," Legge ",[21,143,144],{},"user.id"," e la pagina si\nrompe con ",[21,147,148],{},"Cannot read properties of null",", che sembra tutt'altro bug.",[10,151,152],{},"Sono lo stesso errore: trattare \"nessuno ha fatto login\" come un guasto.\nControlla prima l'utente, e dai a un visitatore senza login la schermata pensata\nper lui:",[14,154,157],{"className":155,"code":156,"language":113,"meta":23},[111],"const { data: { user } } = await supabase.auth.getUser()\nif (!user) {\n  \u002F\u002F nessuno ha fatto login: mostrare la schermata di accesso o la pagina pubblica\n  return\n}\n",[21,158,156],{"__ignoreMap":23},[10,160,161,162,96,165,168],{},"Se vuoi distinguere questo caso da un guasto vero, la libreria gli dà un nome:\n",[21,163,164],{},"error.name",[21,166,167],{},"'AuthSessionMissingError'",".",[44,170,172],{"id":171},"dove-si-perde-la-sessione","Dove si perde la sessione",[10,174,175],{},"In tre posti, e solo il primo è innocuo.",[10,177,178,181,182,184],{},[39,179,180],{},"1. In questo browser nessuno ha fatto login."," La tua app chiama ",[21,183,32],{}," su\nuna pagina che chiunque può aprire, magari per decidere se mostrare \"Accedi\" o\n\"Il mio account\". Per un visitatore, la tasca vuota è la risposta vera. È qui che\nla maggior parte delle persone incontra il messaggio, e la correzione del codice\nqui sopra è tutto ciò che serve.",[10,186,187,190,191,194,195,202,203,206,207,210],{},[39,188,189],{},"2. Una pagina di reimpostazione della password o di magic link."," Scegliere una\nnuova password chiama ",[21,192,193],{},"updateUser({ password })",", e la\n",[196,197,201],"a",{"href":198,"rel":199},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fpasswords",[200],"nofollow","guida alle password di Supabase","\nè chiara sull'ordine: è una volta ottenuta la sessione che si raccoglie la nuova\npassword e si chiama ",[21,204,205],{},"updateUser",". Su quella pagina, la sessione deve arrivare\ndal link dell'email, che fa entrare la persona mentre si apre. Quando non lo fa,\nla tasca è vuota e ",[21,208,209],{},"updateUser()"," risponde \"Auth session missing!\". I motivi\nsoliti:",[124,212,213,221,224],{},[127,214,215,216,220],{},"Il link era già stato usato, o era scaduto, prima di essere aperto.\n",[196,217,219],{"href":218},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Perché Supabase dice che il link dell'email non è valido o è scaduto","\nli passa in rassegna uno per uno.",[127,222,223],{},"È stato aperto in un browser o in un'app diversi da quelli che l'hanno chiesto.\nQuando un'app usa il login PKCE di Supabase, una parte dello scambio resta nel\nbrowser che l'ha cominciato, e secondo la documentazione di Supabase lo scambio\ndel codice va avviato nello stesso browser e sullo stesso dispositivo in cui è\ncominciato il flusso.",[127,225,226,227,230,231,235],{},"Ha mandato la persona altrove, per esempio su ",[21,228,229],{},"localhost",", così la sessione è\narrivata a un indirizzo che non è la tua app.\n",[196,232,234],{"href":233},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Perché Supabase reindirizza a localhost","\ncopre questo caso.",[10,237,238,241,242,244],{},[39,239,240],{},"3. Il tuo server o una Edge Function non ha mai ricevuto la sessione."," Il\nbadge è nel browser del tuo visitatore. Il codice che gira altrove, una Edge\nFunction di Supabase o la metà server di un'app Next.js fatta con v0 o Cursor,\ncrea il proprio client Supabase, e un client nuovo comincia con la tasca vuota.\nFinché la sessione del visitatore non gli viene passata, ",[21,243,32],{}," lì non trova\nniente e risponde \"Auth session missing!\" senza chiedere a Supabase.",[10,246,247,248,251,252,256],{},"In una Edge Function la sessione viaggia nell'header ",[21,249,250],{},"Authorization"," della\nrichiesta, e supabase-js la usa solo se gliela consegni quando crei il client. In\nun'app Next.js viaggia nei cookie, che lo strumento server di Supabase legge solo\nse gli dai quelli della richiesta. Se una Edge Function restituisce quel\nfallimento come errore, la tua app mostra\n",[196,253,255],{"href":254},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\"",",\ncon questo messaggio che aspetta nel log della funzione.",[76,258],{"alt":259,"caption":260,"src":261},"Una persona davanti a una finestra del browser, con il badge addosso, manda due richieste a una Edge Function. Nella corsia in alto la richiesta arriva senza il badge, il porta-badge della funzione è vuoto e contornato in ambra, e la corsia finisce su una croce. In quella in basso il badge viaggia con la richiesta sotto l'etichetta Authorization, il porta-badge della funzione è pieno, e la reception risponde con un segno di spunta.","La sessione appartiene al browser. Una funzione o un server ce l'ha solo se la richiesta la porta e il codice la passa al suo client.","\u002Fblog\u002Fauth-session-missing\u002Fthe-badge-stays-behind-1600x760.png",[44,263,265],{"id":264},"come-capire-qual-è-il-tuo-caso","Come capire qual è il tuo caso",[10,267,268],{},"Guarda dove compare il messaggio, e poi che cosa ha mandato davvero il browser.",[10,270,271,274,275,278,279,282,283,286,287,290,291,168],{},[39,272,273],{},"Nella console del browser, su una pagina che chiunque può aprire."," Caso 1.\nApri gli strumenti per sviluppatori del browser (F12), scegli ",[39,276,277],{},"Application",",\npoi ",[39,280,281],{},"Local Storage"," e l'indirizzo della tua app. supabase-js tiene la sessione\nsotto una chiave fatta da ",[21,284,285],{},"sb-",", l'identificativo del tuo progetto e\n",[21,288,289],{},"-auth-token",". Se non c'è una voce del genere, questo browser non ha una\nsessione, e il messaggio dice il vero. Un'app Next.js che usa gli strumenti\nserver di Supabase tiene la sessione nei cookie, quindi cerca lo stesso nome in\n",[39,292,293],{},"Cookies",[10,295,296,299],{},[39,297,298],{},"Su una pagina di reimpostazione o di magic link."," Caso 2. Guarda l'indirizzo\nsu cui si è aperto il link. Se non è la tua app, o se è un link che tu o uno\nscanner della posta avevate già aperto, la sessione non ha mai avuto modo di\narrivare.",[10,301,302,305,306,309,310,312,313,316],{},[39,303,304],{},"Nel log di una Edge Function, o del tuo server."," Caso 3. Apri la scheda\n",[39,307,308],{},"Network",", ripeti l'azione e fai clic sulla richiesta alla tua funzione. Se il\nsuo header ",[21,311,250],{}," contiene una lunga stringa che comincia con ",[21,314,315],{},"eyJ",", il\nbrowser ha mandato il token di una persona, e la tua funzione non l'ha passato al\nsuo client.",[10,318,319,320,323,324,327,328,332],{},"Quello che non troverai su nessuna strada è una richiesta a ",[21,321,322],{},"\u002Fauth\u002Fv1\u002Fuser","\ntornata con questo messaggio. Se ne vedi una fallita, è un altro errore. Una\nrisposta che dice ",[21,325,326],{},"invalid claim: missing sub claim"," vuol dire che la chiave del\ntuo progetto è stata mandata dove doveva esserci una persona, e\n",[196,329,331],{"href":330},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","quell'articolo"," è il suo gemello.",[44,334,336],{"id":335},"la-correzione-per-ogni-caso","La correzione per ogni caso",[10,338,339],{},"Dai a ciascuno la sessione che gli manca, o una risposta che non ne abbia\nbisogno.",[10,341,342,345,346,348],{},[39,343,344],{},"Caso 1, il visitatore senza login:"," controlla ",[21,347,95],{}," prima di usarlo, come nel\ncodice qui sopra, e mostra la schermata pensata per chi non ha fatto login.",[10,350,351,354,355,358],{},[39,352,353],{},"Caso 2, la pagina di reimpostazione:"," aspetta che il link abbia fatto entrare\nla persona prima di mostrare il modulo. Supabase emette un evento\n",[21,356,357],{},"PASSWORD_RECOVERY"," quando qualcuno arriva da un link di recupero, e il suo\nriferimento mostra la pagina che lo aspetta:",[14,360,363],{"className":361,"code":362,"language":113,"meta":23},[111],"supabase.auth.onAuthStateChange((event) => {\n  if (event === 'PASSWORD_RECOVERY') {\n    \u002F\u002F il link ha fatto entrare la persona: ora mostrare il modulo della nuova password\n  }\n})\n",[21,364,362],{"__ignoreMap":23},[10,366,367],{},"Se l'evento non arriva mai, il link non ha funzionato. Dillo e offri di mandarne\nuno nuovo, invece di mostrare un modulo destinato a fallire.",[10,369,370,373],{},[39,371,372],{},"Caso 3, la funzione o il server:"," passa la sessione del visitatore al client\nche crei. In una Edge Function, crealo con l'header in arrivo:",[14,375,378],{"className":376,"code":377,"language":113,"meta":23},[111],"const supabase = createClient(\n  Deno.env.get('SUPABASE_URL')!,\n  Deno.env.get('SUPABASE_ANON_KEY')!,\n  { global: { headers: { Authorization: req.headers.get('Authorization')! } } },\n)\nconst { data: { user } } = await supabase.auth.getUser()\nif (!user) {\n  return new Response(JSON.stringify({ error: 'Sign in first' }), {\n    status: 401,\n    headers: { ...corsHeaders, 'Content-Type': 'application\u002Fjson' },\n  })\n}\n",[21,379,377],{"__ignoreMap":23},[10,381,382,383,386,387,391,392,394,395,397],{},"Il wrapper più recente di Supabase, ",[21,384,385],{},"withSupabase({ auth: 'user' })",", fa la\nstessa cosa prima che parta il tuo handler, e\n",[196,388,390],{"href":389},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","l'articolo sulle Edge Function"," mostra\ncome impostarlo. Tieni il 401 per chi chiama senza sessione, così una richiesta\nda una pagina senza login riceve un rifiuto chiaro. Con l'header passato,\n",[21,393,32],{}," lì può restituire invece ",[21,396,326],{}," per chi\nchiama senza login: lo stesso visitatore visto dall'altra parte, e il 401 copre\nentrambi i casi.",[10,399,400,401,404,405,407],{},"In un'app Next.js, crea il client server con lo strumento ",[21,402,403],{},"@supabase\u002Fssr"," di\nSupabase e i cookie della richiesta, come mostra la sua configurazione lato\nserver, e chiama ",[21,406,32],{}," su quel client.",[44,409,411],{"id":410},"due-correzioni-che-peggiorano-le-cose","Due correzioni che peggiorano le cose",[10,413,414],{},"Vengono suggerite entrambe per questo messaggio, e ciascuna ferma l'errore\ntogliendo il controllo che c'è dietro.",[10,416,417,424,425,428,429,431],{},[39,418,419,420,33,422,168],{},"Sostituire ",[21,421,32],{},[21,423,36],{}," Nel browser non cambia niente di\nimportante: lo storage è ancora vuoto, quindi non ottieni né sessione né utente,\nsolo senza il messaggio. Su un server è pericoloso. La guida lato server di\nSupabase dice di non fidarsi mai di ",[21,426,427],{},"supabase.auth.getSession()"," nel codice\nserver, perché legge la sessione dal cookie senza riconvalidarla. Un cookie è\nqualcosa che ti manda il visitatore, e chiunque può mandarti il cookie che vuole.\n",[21,430,32],{}," è il metodo che supabase-js documenta come una richiesta al server di\nSupabase Auth, quindi il suo risultato è autentico. Tienilo ovunque la risposta\ndecida che cosa qualcuno può fare.",[10,433,434,437,438,441,442,445,446,168],{},[39,435,436],{},"Mettere la chiave segreta nel client perché la chiamata smetta di fallire."," Un\nclient creato con la chiave ",[21,439,440],{},"service_role"," o ",[21,443,444],{},"sb_secret_"," non ha bisogno di una\nsessione per leggere e scrivere, perché scavalca del tutto le regole del tuo\ndatabase. La funzione torna a funzionare, per chiunque la chiami, con login o\nsenza. Se un builder fa questa modifica in codice che finisce nel browser, la\nchiave parte con lui verso ogni visitatore. Se è già successo,\n",[196,447,449],{"href":448},"\u002Fblog\u002Frotate-supabase-service-role-key","ruotala per prima cosa",[10,451,452,453,168],{},"Lo puoi verificare da fuori. La nostra scansione gratuita legge il JavaScript\ndella tua app pubblicata come farebbe un estraneo e nomina ogni chiave che trova,\ncompreso se è una di quelle che lì ci devono stare. Ci mette circa 20 secondi e\nnon chiede un account: ",[196,454,456],{"href":455},"\u002Fsecurity-scanner","scansiona la tua app",[44,458,460],{"id":459},"tenere-il-controllo-al-suo-posto-dopo-la-prossima-modifica","Tenere il controllo al suo posto dopo la prossima modifica",[10,462,463,466],{},[39,464,465],{},"Il controllo su chi ha fatto login è la parte di una pagina che più facilmente\nsparisce quando chiedi al tuo builder di far sparire un errore",", ed entrambe le\ncorrezioni rapide qui sopra lo tolgono.",[10,468,469],{},[39,470,471,475],{},[196,472,474],{"href":473},"\u002Fwebsite-monitoring","Reeve Monitor"," scansiona di nuovo la tua app pubblicata ogni ora:",[124,477,478,481,484,487],{},[127,479,480],{},"tutti e nove i controlli ogni ora, su un massimo di tre app",[127,482,483],{},"una email il giorno in cui una nuova scansione valuta la tua app peggio della precedente; una chiave segreta nel tuo JavaScript limita da sola il voto a D",[127,485,486],{},"se l'app risponde, ogni 60 secondi",[127,488,489],{},"un rapporto mensile di quello che ha visto",[10,491,492],{},[39,493,494,495,499],{},"Un server che crede a qualsiasi cookie, o una funzione che gira con la chiave\nsegreta, lascia che un estraneo cambi le righe dei tuoi utenti.\n",[196,496,498],{"href":497},"\u002Fsupabase-backups","Reeve Care"," tiene una copia del tuo database Supabase di\nprima che succeda.",[124,501,502,505,508,511,514],{},[127,503,504],{},"una copia cifrata secondo una pianificazione, conservata sullo storage di Reeve nell'UE, fuori dal tuo account Supabase",[127,506,507],{},"ogni copia verificata prima di contare, contando le righe di ogni tabella",[127,509,510],{},"un ripristino in un clic che salva quello che c'è adesso prima di sostituirlo",[127,512,513],{},"anche i tuoi file caricati, appena colleghi una credenziale di Storage",[127,515,516],{},"tutto quello che fa Monitor",[44,518,520],{"id":519},"che-cosa-fare-adesso","Che cosa fare adesso",[522,523,524],"key-takeaways",{},[124,525,526,529,537,543,549],{},[127,527,528],{},"Leggi \"Auth session missing!\" come \"qui nessuno ha fatto login\". La richiesta non ha mai lasciato la tua app.",[127,530,531,532,96,534,536],{},"Controlla se ",[21,533,95],{},[21,535,99],{}," prima di usarlo, e dai a un visitatore senza login la schermata pensata per lui invece dell'errore.",[127,538,539,540,542],{},"Su una pagina di reimpostazione, aspetta l'evento ",[21,541,357],{}," prima di mostrare il modulo, e offri un nuovo link se non arriva mai.",[127,544,545,546,548],{},"In una Edge Function o su un server, passa l'header ",[21,547,250],{}," o i cookie del visitatore al client che crei, e rispondi 401 se l'utente continua a mancare.",[127,550,551,552,554,555,557],{},"Tieni ",[21,553,32],{}," sul server. Lì ",[21,556,36],{}," crede a qualsiasi cookie gli venga mandato.",[10,559,560,561,565,566,570],{},"Se le tue sessioni esistono e poi spariscono, e persone che avevano fatto login\nsi ritrovano fuori all'improvviso, è un altro problema con cause sue, e\n",[196,562,564],{"href":563},"\u002Fblog\u002Fsupabase-users-logged-out","perché gli utenti Supabase vengono disconnessi","\nlo tratta. La ",[196,567,569],{"href":568},"\u002Fchecklist","checklist di sicurezza in 10 minuti"," copre che cos'altro\nun'app appena lanciata lascia spesso aperto.",{"title":23,"searchDepth":572,"depth":572,"links":573},3,[574,576,577,578,579,580,581,582],{"id":46,"depth":575,"text":47},2,{"id":83,"depth":575,"text":84},{"id":171,"depth":575,"text":172},{"id":264,"depth":575,"text":265},{"id":335,"depth":575,"text":336},{"id":410,"depth":575,"text":411},{"id":459,"depth":575,"text":460},{"id":519,"depth":575,"text":520},"Basi della sicurezza","\u002Fblog\u002Fauth-session-missing\u002Fcover-1200x630.png","Un porta-badge vuoto appeso a un cordino, con lo spazio del badge contornato in ambra, davanti a due badge che hanno un volto.","\"Auth session missing!\" è supabase-js che non trova nessuna sessione e non arriva nemmeno a chiedere a Supabase. Dove è finita la sessione, e la correzione.",false,"md",[590,592,595,598,601],{"q":47,"a":591},"Significa che a supabase-js, la libreria di Supabase dentro la tua app, è stato chiesto l'utente con login e non aveva nessuna sessione con cui chiederlo. Una sessione è quello che Supabase Auth consegna a una persona quando fa login, e la libreria la tiene nel browser. Se non ce n'è nessuna, non contatta Supabase per niente. Restituisce AuthSessionMissingError con lo stato 400 e un utente null.",{"q":593,"a":594},"Perché vedo \"Auth session missing!\" quando nessuno ha fatto login?","Perché è la risposta per un visitatore che non ha fatto login. La tua app ha chiamato getUser() su una pagina che chiunque può aprire, e supabase-js ha segnalato che nessuno aveva fatto login. Non c'è niente di rotto. Il tuo codice deve solo leggere l'utente come null e mostrare la schermata di accesso, invece di mostrare l'errore.",{"q":596,"a":597},"Perché la mia pagina di reimpostazione della password dice \"Auth session missing!\"?","Cambiare una password con updateUser() richiede una sessione, e su quella pagina la sessione deve arrivare dal link dell'email. Se il link era già stato usato o era scaduto, è stato aperto in un browser diverso da quello che l'ha chiesto, o ha mandato la persona a un altro indirizzo, nessuna sessione è arrivata e updateUser() non ha nessuno da modificare. Aspetta l'evento PASSWORD_RECOVERY prima di mostrare il modulo, e offri un nuovo link se non arriva mai.",{"q":599,"a":600},"È la stessa cosa di \"invalid claim: missing sub claim\"?","No. \"Auth session missing!\" viene deciso dentro la tua app, prima che qualsiasi richiesta ne esca. \"invalid claim: missing sub claim\" torna da Supabase Auth, che ha ricevuto una richiesta e ha trovato la chiave del tuo progetto dove doveva esserci il token di una persona. Il primo vuol dire che non c'era niente da mandare. Il secondo, che è stata mandata la cosa sbagliata.",{"q":602,"a":603},"Devo usare getSession() invece di getUser()?","Non per far sparire questo errore. Nel browser, getSession() trova lo stesso spazio vuoto e non restituisce nessuna sessione, quindi non cambia niente tranne che il messaggio smette. Su un server è peggio: supabase-js documenta che getSession() legge la sessione direttamente dallo storage, per esempio dai cookie della richiesta, che possono non essere autentici, e raccomanda getUser() al suo posto perché verifica con Supabase Auth.","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",[606,607,608,609,610,611,612],"auth session missing supabase","AuthSessionMissingError: Auth session missing!","supabase getuser auth session missing","supabase updateuser auth session missing","supabase reimpostare password auth session missing","supabase edge function auth session missing","supabase ssr auth session missing",{},true,"\"Auth session missing!\" in Supabase","\u002Fblog\u002Fauth-session-missing","2026-11-05",{"title":5,"description":586},"blog\u002Fauth-session-missing",[621,622,623],"\"Auth session missing!\" (AuthSessionMissingError, stato 400) viene da supabase-js, dentro la tua app. La libreria ha cercato una sessione con login, non ne ha trovata nessuna e non ha mai mandato la richiesta a Supabase.","Su una pagina dove nessuno ha fatto login è la risposta giusta, e il tuo codice deve solo gestirla. Su una pagina di reimpostazione della password vuol dire che il link non ha fatto entrare nessuno qui. In una Edge Function o su un server, la sessione del visitatore non è mai stata passata.","Lascia getUser() dove sta. Sostituirlo con getSession() su un server fa sparire l'errore credendo a qualunque cosa dica il cookie.","7JaEhRQbmV5HXMAtWIjSK5TnQo14rYUhe8Qg5Pyx4as",[626,632,638,644,650,651,656,662,667,672,678,685,691,697,702,708,714,720,726,732,738,744,749,755,761,767,773,779,785,791,797,803,809,815,821,827,832,838,844,850,856,862,868,874,880,886,891,897,903,909,915,921,927,933,939,945,951,957,963,969,975,981,987,993,998,1004,1010,1016,1022,1028,1034,1040,1046,1052,1058,1064,1070,1076,1082,1088,1094,1100,1106,1112,1117,1123,1129,1135,1140,1146],{"path":627,"title":628,"description":629,"published":630,"category":583,"image":631,"draft":587},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\", spiegato","Supabase \"max client connections reached\": il pooler non ha posto per un altro client. La porta nella tua stringa di connessione decide il limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":633,"title":634,"description":635,"published":636,"category":583,"image":637,"draft":587},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Errore Supabase: \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\": Google è disattivato nel tuo progetto Supabase. Come attivarlo e risolvere redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":639,"title":640,"description":641,"published":642,"category":583,"image":643,"draft":587},"\u002Fblog\u002Fviolates-foreign-key-constraint","Errore Supabase \"violates foreign key constraint\" all'inserimento","Supabase \"insert or update on table violates foreign key constraint\": la tua riga punta a una riga che non c'è. Quale, perché, e la soluzione.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":645,"title":646,"description":647,"published":648,"category":583,"image":649,"draft":587},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Errore Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\": una colonna obbligatoria è arrivata vuota. Da dove viene il null, e la soluzione.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":616,"title":5,"description":586,"published":617,"category":583,"image":604,"draft":587},{"path":330,"title":652,"description":653,"published":654,"category":583,"image":655,"draft":587},"Supabase \"invalid claim: missing sub claim\": nessun utente connesso","\"invalid claim: missing sub claim\": Supabase Auth ha ricevuto un token autentico senza alcun utente, la chiave del progetto al posto di una sessione.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":657,"title":658,"description":659,"published":660,"category":583,"image":661,"draft":587},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\": la causa vera","\"Failed to send a request to the Edge Function\": il browser non ha ricevuto una risposta leggibile. La sua console dice perché e se la tua funzione è partita.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":233,"title":663,"description":664,"published":665,"category":583,"image":666,"draft":587},"Perché i link email di Supabase reindirizzano a localhost:3000","Se Supabase reindirizza a localhost:3000, la Site URL non è mai stata cambiata o il tuo indirizzo manca in Redirect URLs. La soluzione, e il jolly da evitare.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":218,"title":668,"description":669,"published":670,"category":583,"image":671,"draft":587},"Supabase \"Email link is invalid or has expired\" su un link nuovo","Su un link inviato un minuto fa, \"Email link is invalid or has expired\" di Supabase di solito vuol dire che un filtro della posta l'ha usato prima.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":673,"title":674,"description":675,"published":676,"category":583,"image":677,"draft":587},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\", spiegato","Supabase \"canceling statement due to statement timeout\": una query ha superato il limite del suo ruolo, 3 secondi per un visitatore. Guarda la policy RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":679,"title":680,"description":681,"published":682,"category":683,"image":684,"draft":587},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" su Supabase, e cosa porta con sé","\"Database error deleting user\" su Supabase: il tuo database ha rifiutato la cancellazione. La causa è nei log, e la soluzione decide cos'altro sparisce.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":686,"title":687,"description":688,"published":689,"category":583,"image":690,"draft":587},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" su Supabase","Un webhook Stripe in una Edge Function di Supabase dice \"No signatures found matching the expected signature\"? Due cause. Non smettere di verificare.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":692,"title":693,"description":694,"published":695,"category":583,"image":696,"draft":587},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" in Supabase: le tre cause","Supabase dice \"Invalid login credentials\" per una password sbagliata, un'email sconosciuta e un account Google. Come capire quale.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":254,"title":698,"description":699,"published":700,"category":583,"image":701,"draft":587},"\"Edge Function returned a non-2xx status code\": l'errore vero","\"Edge Function returned a non-2xx status code\" vuol dire che la tua funzione Supabase ha risposto con un errore. Ecco dove leggere quello vero.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":703,"title":704,"description":705,"published":706,"category":583,"image":707,"draft":587},"\u002Fblog\u002Fcertificate-not-trusted","Certificato non attendibile: tre cause oltre alla scadenza","Certificato non attendibile anche se la data è giusta? Nomina un altro indirizzo, si è firmato da solo o alla sua catena manca un anello. Come capirlo.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":709,"title":710,"description":711,"published":712,"category":583,"image":713,"draft":587},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\": leggi le virgolette","Supabase \"invalid input syntax for type uuid\": la tua app ha inviato qualcosa che non è un id. Leggi le virgolette, ferma la query, tieni la colonna.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":715,"title":716,"description":717,"published":718,"category":583,"image":719,"draft":587},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\", spiegato","Supabase \"duplicate key value violates unique constraint\": il valore è già preso. Trova la colonna, scegli una correzione, tieni il valore fuori schermo.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":721,"title":722,"description":723,"published":724,"category":583,"image":725,"draft":587},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" quando la tabella c'è","Supabase \"relation does not exist\" o PGRST205: nessuna tabella ha quel nome in quello schema. Quattro controlli, e che cosa apre esporre uno schema.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":727,"title":728,"description":729,"published":730,"category":583,"image":731,"draft":587},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" riporta i nomi degli argomenti inviati dalla tua app. Confrontali con la funzione.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":733,"title":734,"description":735,"published":736,"category":583,"image":737,"draft":587},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" di solito è un nome che non torna. Quattro controlli in ordine e la riga che ricarica.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":739,"title":740,"description":741,"published":742,"category":583,"image":743,"draft":587},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\": due limiti, un solo codice","Supabase \"Email Rate Limit Exceeded\" limita ogni email del tuo progetto: 2 all'ora con il mittente integrato. Cosa conta e come alzarlo.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":563,"title":745,"description":746,"published":747,"category":583,"image":748,"draft":587},"Supabase \"Invalid Refresh Token: Refresh Token Not Found\": 3 cause","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" disconnette i tuoi utenti. Tre cause, e come il log di Auth le distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":750,"title":751,"description":752,"published":753,"category":583,"image":754,"draft":587},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\": tre cause","Supabase \"permission denied for schema public\" indica un grant mancante sullo schema. Cosa lo ha tolto, e la riga che lo rimette.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":756,"title":757,"description":758,"published":759,"category":583,"image":760,"draft":587},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\": le tre cose che può voler dire","Supabase \"Bucket not found\" è una di tre cose: un link pubblico a un bucket privato, un nome non esattamente uguale o il progetto sbagliato.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":762,"title":763,"description":764,"published":765,"category":583,"image":766,"draft":587},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT: quale chiave ha smesso di funzionare?","Un errore Supabase invalid JWT è PGRST301: un token firmato non ha superato la verifica. Su un progetto recente riguarda la sessione, non la chiave API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":768,"title":769,"description":770,"published":771,"category":583,"image":772,"draft":587},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" quasi sempre è nessuna","Supabase restituisce PGRST116, \"JSON object requested, multiple (or no) rows returned\", quando la query non ha trovato nulla. Una riga nascosta sembra assente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":774,"title":775,"description":776,"published":777,"category":583,"image":778,"draft":587},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" su Supabase: dove guardare","\"Database error saving new user\" vuol dire che qualcosa attaccato alla registrazione Supabase è fallito. L'errore vero sta nei tuoi log.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":780,"title":781,"description":782,"published":783,"category":583,"image":784,"draft":587},"\u002Fblog\u002Fwhat-is-supabase","Cos'è Supabase? Il database che ha scelto il tuo builder","Cos'è Supabase: il database, il login e l'archivio file dietro la tua app. Supabase manda avanti i server; le regole su chi legge le tue righe sono tue.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":786,"title":787,"description":788,"published":789,"category":583,"image":790,"draft":587},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Una chiave AWS esposta nel frontend non è come una chiave OpenAI","Una chiave di accesso AWS esposta nel tuo frontend legge e scrive il tuo storage. La soluzione di solito è una presigned URL, non una chiave nuova.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":792,"title":793,"description":794,"published":795,"category":583,"image":796,"draft":587},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" in upload","\"New row violates row-level security policy for table objects\" vuol dire che al tuo upload manca una regola insert. Rendere pubblico il bucket non ne aggiunge.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":798,"title":799,"description":800,"published":801,"category":583,"image":802,"draft":587},"\u002Fblog\u002Fbase44-security-scan","Scansione di sicurezza Base44: ciò che vede solo lei","La scansione di sicurezza Base44 controlla sette tipi di problema dall’interno. Ecco la metà che legge e che nessun altro legge, e quella che non guarda mai.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":804,"title":805,"description":806,"published":807,"category":583,"image":808,"draft":587},"\u002Fblog\u002Fapi-key-leaked-what-to-do","La tua chiave API è trapelata. L'ordine in cui muoverti","Una chiave API è trapelata e non sai da cosa cominciare. Non tutte le chiavi nel frontend lo sono, e l'ordine conta più della velocità.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":810,"title":811,"description":812,"published":813,"category":583,"image":814,"draft":587},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" senza disattivare RLS","\"Infinite recursion detected in policy for relation\" significa che la tua policy ha interrogato la tabella che protegge. Ecco come rompere il cerchio.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":816,"title":817,"description":818,"published":819,"category":583,"image":820,"draft":587},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" su Supabase, e la correzione sbagliata","\"No API key found in request\" significa che la tua richiesta è arrivata a Supabase senza chiave. Quasi tutte le risposte indicano le regole del database.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":822,"title":823,"description":824,"published":825,"category":583,"image":826,"draft":587},"\u002Fblog\u002Fis-base44-safe","Base44 è sicuro? Cosa abbiamo trovato in 5.442 app","Base44 è sicuro? Abbiamo passato nove controlli su 5.442 app Base44 online. Quasi tutte hanno preso B, per motivi che il proprietario non ha mai scelto.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":389,"title":828,"description":829,"published":830,"category":583,"image":831,"draft":587},"Nascondere una chiave API: spostala in una Edge Function Supabase","Nascondere una chiave API vuol dire toglierla dal browser, e una Edge Function Supabase è il posto più piccolo dove metterla. Due passaggi contano di più.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":833,"title":834,"description":835,"published":836,"category":583,"image":837,"draft":587},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Il tuo file .env è esposto? I dodici percorsi da provare","Il tuo file .env è esposto sul tuo server web? Dodici indirizzi te lo dicono, e una risposta significa che tutto quello che contiene è già pubblico.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":839,"title":840,"description":841,"published":842,"category":583,"image":843,"draft":587},"\u002Fblog\u002Fis-v0-safe","Sicurezza di v0: tutte le 1.790 app v0 analizzate hanno preso A","La sicurezza di v0 misurata su 1.790 app v0 online: tutte hanno preso A. Solo 17 nominavano un database, ed è soprattutto questo che misura quella A.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":845,"title":846,"description":847,"published":848,"category":583,"image":849,"draft":587},"\u002Fblog\u002Fis-bolt-safe","Bolt è sicuro? Cosa abbiamo trovato in 1.123 app Bolt","Bolt è sicuro? Abbiamo passato 1.123 app Bolt online per nove controlli. L’hosting era pulito. I rilievi erano chiavi e tabelle aperte dentro le app.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":851,"title":852,"description":853,"published":854,"category":583,"image":855,"draft":587},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase è down o è la tua app? Come capirlo","Supabase è down o è la tua app? Un progetto in pausa, un database pieno e un tuo errore sembrano la stessa cosa. Quattro controlli li separano.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":857,"title":858,"description":859,"published":860,"category":583,"image":861,"draft":587},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase crittografa i miei dati? Sì. Ecco da cosa protegge","Supabase crittografa i dati? Sì: AES-256 a riposo, TLS in transito, SOC 2 e ISO 27001. Cosa copre ciascuno, e la fuga di dati che nessuno di questi ferma.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":863,"title":864,"description":865,"published":866,"category":583,"image":867,"draft":587},"\u002Fblog\u002Fsupabase-free-plan-limits","Supabase: prezzi e limiti del piano gratuito, uno per uno","Prezzi e limiti del piano gratuito di Supabase: 500 MB di database, 5 GB di egress e nessun backup. Cosa succede a ogni soglia e cosa cambia Pro a $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":869,"title":870,"description":871,"published":872,"category":683,"image":873,"draft":587},"\u002Fblog\u002Ftest-your-supabase-backup","Testa il tuo backup di Supabase prima del giorno in cui serve","Come testare il tuo backup di Supabase: ripristinarlo in un progetto di prova, contare le righe, accedere e cercare la riga che manca a un file troncato.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":875,"title":876,"description":877,"published":878,"category":683,"image":879,"draft":587},"\u002Fblog\u002Fsupabase-backup-github-action","Backup gratis di Supabase con una GitHub Action, e il tranello","Un backup di Supabase con una GitHub Action è gratis e va bene per molte app. Il workflow, la connection string giusta e l'egress di ogni esecuzione.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":881,"title":882,"description":883,"published":884,"category":683,"image":885,"draft":587},"\u002Fblog\u002Fdownload-your-supabase-backup","Perché non puoi scaricare il tuo backup di Supabase","Non puoi scaricare il tuo backup di Supabase su un progetto recente, perché la copia giornaliera è uno snapshot fisico. Come verificarlo e tenere una copia tua.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":887,"title":888,"description":889,"published":884,"category":583,"image":890,"draft":587},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\": il grant mancante","Dal 30 ottobre una nuova tabella di Supabase risponde \"permission denied for table\" finché non concedi l'accesso. Il grant della mail è metà della soluzione.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":892,"title":893,"description":894,"published":895,"category":583,"image":896,"draft":587},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint API aperto è un problema di sicurezza? Leggi il JSON","La tua scansione ha segnalato un endpoint API aperto. Quanto conti dipende da che cosa è tornato, e la maggior parte di quelli trovati era della piattaforma.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":898,"title":899,"description":900,"published":901,"category":583,"image":902,"draft":587},"\u002Fblog\u002Flovable-security-scan","Scansione di sicurezza Lovable: cosa non può dimostrare","Scansione di sicurezza Lovable: cosa controllano Quick scan e Deep scan, quando parte ciascuno, e l’unica cosa che nessuna scansione dall’interno dimostra.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":904,"title":905,"description":906,"published":907,"category":683,"image":908,"draft":587},"\u002Fblog\u002Fsupabase-backup-auth-users","Perché nel tuo dump Supabase non ci sono utenti","Lancia supabase db dump da solo e ottieni la forma del tuo database e nessuna delle sue righe, senza lo schema auth in cui vivono i tuoi utenti.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":910,"title":911,"description":912,"published":913,"category":583,"image":914,"draft":587},"\u002Fblog\u002Fdomain-and-certificate-expiry","Dominio scaduto, sito offline: cosa succede adesso","Il tuo dominio è scaduto e il sito è offline. Il conto alla rovescia che parte, perché il certificato è il problema minore, e come controllarli entrambi.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":916,"title":917,"description":918,"published":919,"category":583,"image":920,"draft":587},"\u002Fblog\u002Fis-lovable-safe","Lovable è sicuro? Cosa abbiamo trovato in 18.554 app Lovable","Lovable è sicuro? Abbiamo passato 18.554 app Lovable online per nove controlli. La piattaforma è risultata la più pulita di cinque. I rilievi stavano nelle app.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":922,"title":923,"description":924,"published":925,"category":583,"image":926,"draft":587},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist di sicurezza del vibe coding, in nove controlli","Una checklist di sicurezza del vibe coding in nove voci, ognuna verificabile dall’esterno sulla tua app dal vivo, e ognuna con un test di una riga.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":928,"title":929,"description":930,"published":931,"category":583,"image":932,"draft":587},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Una chiave segreta Stripe nel frontend può muovere denaro","Una chiave segreta Stripe esposta nel tuo frontend può rimborsare, addebitare e leggere ogni scheda cliente che hai. La tua chiave pk_live_ ci sta bene.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":934,"title":935,"description":936,"published":937,"category":583,"image":938,"draft":587},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica","Variabili d’ambiente Vite esposte: la tua app ha fatto ciò che il prefisso chiedeva. VITE_ e NEXT_PUBLIC_ vogliono dire pubblica, e l’IA non sapeva il costo.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":940,"title":941,"description":942,"published":943,"category":583,"image":944,"draft":587},"\u002Fblog\u002Fbase44-source-maps","Sicurezza Base44: cosa segnala uno scan e cosa tocca a te sistemare","Sicurezza Base44 su 5.438 app scansionate: tre segnalazioni su quasi tutte sono della piattaforma, la source map è il badge di Base44, la tua parte è corta.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":946,"title":947,"description":948,"published":949,"category":583,"image":950,"draft":587},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI è sicuro? L’editor, il codice e l’app che hai pubblicato","Cursor AI è sicuro? Tre domande in una ricerca: cosa tiene Cursor, cosa sbaglia il codice che scrive, e se l’app che hai pubblicato è aperta.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":952,"title":953,"description":954,"published":955,"category":583,"image":956,"draft":587},"\u002Fblog\u002Fis-replit-safe","Replit è sicuro? Cosa abbiamo trovato in 3.042 app Replit online","Replit è sicuro? Abbiamo passato 3.042 app Replit online per nove controlli esterni. I rilievi stavano nell’app pubblicata, non nell’host.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":958,"title":959,"description":960,"published":961,"category":683,"image":962,"draft":587},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup: la copia del database non ha nessun file","Un Supabase storage backup è un lavoro a parte. I backup del database tengono la lista dei tuoi file e nessuno dei file, quindi ogni upload resta rotto.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":964,"title":965,"description":966,"published":967,"category":683,"image":968,"draft":587},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery di Supabase: prezzo e limiti","Il point-in-time recovery di Supabase riavvolge il database a qualsiasi secondo della settimana scorsa. $100 al mese oltre a Pro, e copre solo il database.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":970,"title":971,"description":972,"published":973,"category":683,"image":974,"draft":587},"\u002Fblog\u002Fsupabase-project-paused-recover","Progetto Supabase in pausa? I tuoi dati sono ancora lì","Supabase ha messo in pausa il tuo progetto dopo una settimana senza attività. Non è cancellato niente, Ripristina è accanto al nome e hai un anno di tempo.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":976,"title":977,"description":978,"published":979,"category":583,"image":980,"draft":587},"\u002Fblog\u002Fsafest-ai-app-builder","Qual è il builder di app con IA più sicuro? 30.998 app testate","Qual è il builder di app con IA più sicuro? Abbiamo scansionato 30.998 app online di Lovable, Base44, Replit, v0 e Bolt. Non è il builder a decidere il voto.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":982,"title":983,"description":984,"published":985,"category":583,"image":986,"draft":587},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Attiva Row Level Security su ogni tabella Supabase, poi verificalo","Attivare Row Level Security su Supabase senza una policy chiude del tutto la tabella. Una policy senza il flag non fa nulla. Ecco lo SQL, e la verifica.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":988,"title":989,"description":990,"published":991,"category":583,"image":992,"draft":587},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\": cosa non vede l'avviso","Supabase segnala \"RLS disabled in public\" come errore. Non dice nulla della policy di lettura che lascia la tua tabella altrettanto aperta.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":448,"title":994,"description":995,"published":996,"category":583,"image":997,"draft":587},"Come ruotare una chiave service_role Supabase trapelata","Supabase dice di chiudere prima la falla. Altre guide dicono di ruotare subito. Quale sia giusto dipende da dove è finita la tua chiave service_role.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":999,"title":1000,"description":1001,"published":1002,"category":583,"image":1003,"draft":587},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanner di sicurezza per vibe coding a confronto, il nostro incluso","Il miglior scanner di sicurezza per vibe coding dipende da tre domande che nessun elenco di funzioni affronta. Otto strumenti a confronto, con i prezzi.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":1005,"title":1006,"description":1007,"published":1008,"category":583,"image":1009,"draft":587},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker: i cinque controlli da fare da soli","Un Supabase security checker legge la tua app pubblicata invece delle impostazioni del progetto. Ecco i cinque controlli che esegue e come farli da solo.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":1011,"title":1012,"description":1013,"published":1014,"category":583,"image":1015,"draft":587},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner di sicurezza per vibe coding: cosa si perde","Uno scanner di sicurezza per vibe coding legge la tua app dal vivo, da fuori. Cosa copre, le quattro cose che non può vedere e come leggere il risultato.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":1017,"title":1018,"description":1019,"published":1020,"category":583,"image":1021,"draft":587},"\u002Fblog\u002Fmissing-security-headers","Intestazioni di sicurezza mancanti: quando contano","Le intestazioni di sicurezza mancanti sono il rilievo che il nostro scanner stampa più spesso. Da cosa proteggono e quando sono la riga meno urgente.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1023,"title":1024,"description":1025,"published":1026,"category":583,"image":1027,"draft":587},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","La tua chiave API OpenAI è esposta nel frontend. Ruotala.","Una chiave API OpenAI esposta nel frontend non si può legare a nessun dominio. Ruotala oggi, sposta la chiamata sul tuo server e metti un tetto di spesa.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1029,"title":1030,"description":1031,"published":1032,"category":583,"image":1033,"draft":587},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Chiave API esposta nel frontend: cosa spediscono 30.998 app","Una chiave API esposta nel tuo frontend è quasi sempre una chiave di Google Maps. Abbiamo scansionato 30.998 app vibe-coded e contato cosa esce davvero.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1035,"title":1036,"description":1037,"published":1038,"category":683,"image":1039,"draft":587},"\u002Fblog\u002Fsupabase-backup-tools-compared","Strumenti di backup Supabase a confronto, il nostro incluso","Quattro tipi di strumento di backup Supabase, cosa copia davvero ognuno, e il caso in cui una GitHub Action gratuita batte il pagare chiunque, noi inclusi.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1041,"title":1042,"description":1043,"published":1044,"category":583,"image":1045,"draft":587},"\u002Fblog\u002Freplit-secrets-explained","Come usare i secret su Replit, e cosa viene comunque pubblicato","Come usare i secret su Replit: aggiungerne uno, rileggerlo e risolvere le due cause dell'undefined. E le chiavi che lo strumento non riesce a proteggere.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1047,"title":1048,"description":1049,"published":1050,"category":683,"image":1051,"draft":587},"\u002Fblog\u002Fback-up-supabase-free-tier","Backup del piano gratuito Supabase: farne uno senza terminale","Sul piano gratuito Supabase non esistono backup: la copia la fai tu. Come farne uno dalla dashboard e che cosa si lascia dietro la via del CSV.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1053,"title":1054,"description":1055,"published":1056,"category":583,"image":1057,"draft":587},"\u002Fblog\u002Fis-supabase-secure","Supabase è sicuro? Sì. Il tuo progetto è un'altra questione","Supabase è sicuro? La piattaforma è certificata, cifrata e sottoposta a pentest. La loro documentazione dice dove finisce quello e iniziano le tue impostazioni.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1059,"title":1060,"description":1061,"published":1062,"category":583,"image":1063,"draft":587},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Dove trovare le chiavi API di Supabase: anon, service_role e URL","L'URL del progetto, la chiave anon e la chiave service_role stanno su una pagina della dashboard. Ecco dove si trova e quale dei quattro va nella tua app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1065,"title":1066,"description":1067,"published":1068,"category":583,"image":1069,"draft":587},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy su Supabase. E adesso?","\"New row violates row-level security policy\" significa che Supabase ha rifiutato una scrittura. La soluzione veloce riapre la tabella a chiunque.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1071,"title":1072,"description":1073,"published":1074,"category":583,"image":1075,"draft":587},"\u002Fblog\u002Fcors-wildcard-security-risk","Un wildcard CORS è un rischio di sicurezza? Quasi mai.","Un wildcard CORS è un rischio di sicurezza? Di solito è il valore predefinito del tuo builder e non consegna nulla che il tuo server non desse già a chiunque.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1077,"title":1078,"description":1079,"published":1080,"category":683,"image":1081,"draft":587},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Il branching di Supabase non è un backup. Va solo in avanti.","Perché il branching di Supabase non è un backup: un branch parte senza i tuoi dati e un merge sposta solo lo schema. A cosa serve davvero e cosa usare invece.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1083,"title":1084,"description":1085,"published":1086,"category":683,"image":1087,"draft":587},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Come ripristinare un backup Supabase, e cosa si rompe dopo","Come ripristinare un backup Supabase dalla dashboard o da un file di dump, che cosa sostituisce il ripristino e perché la tua app può restare rotta lo stesso.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1089,"title":1090,"description":1091,"published":1092,"category":583,"image":1093,"draft":587},"\u002Fblog\u002Fsupabase-storage-bucket-public","Il tuo bucket Supabase Storage è pubblico. È un problema?","Un bucket Supabase Storage pubblico significa che chi ha l'URL di un file può aprirlo. Non significa che qualcuno possa elencare quello che c'è dentro.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1095,"title":1096,"description":1097,"published":1098,"category":583,"image":1099,"draft":587},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Una chiave API Google nel frontend è un problema?","Una chiave API Google esposta nel frontend è la chiave che il nostro scanner trova più spesso, e di solito va bene così. Lo decide una impostazione gratuita.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1101,"title":1102,"description":1103,"published":1104,"category":683,"image":1105,"draft":587},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agente IA ha cancellato i miei dati Supabase. Cosa recupero?","Un agente IA ha cancellato dati dal tuo database. Quello che puoi recuperare era già deciso prima che partisse, e i prossimi minuti decidono il resto.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1107,"title":1108,"description":1109,"published":1110,"category":583,"image":1111,"draft":587},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Chiunque può leggere il tuo database Supabase? 3.680 app testate","Chiunque può leggere il tuo database Supabase senza fare login? Abbiamo scansionato 30.998 app online create con i builder IA e misurato quante rispondono sì.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1113,"title":1114,"description":1115,"published":1110,"category":583,"image":1116,"draft":587},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source map esposte: la tua app sta pubblicando il codice originale","Una source map esposta permette a chiunque di leggere il codice originale della tua app, commenti inclusi. Il controllo da 30 secondi e cosa conta davvero.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1118,"title":1119,"description":1120,"published":1121,"category":583,"image":1122,"draft":587},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key: è la stessa della anon key?","Supabase ha sostituito anon e service_role con chiavi pubblicabili e segrete. Quale sta bene nella tua app, e quale non deve starci mai?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1124,"title":1125,"description":1126,"published":1127,"category":683,"image":1128,"draft":587},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase fa il backup del mio database? Dipende dal tuo piano.","Supabase fa il backup del tuo database? Ogni giorno sui piani a pagamento, mai su quello gratuito. Come capire cosa hai e cosa quella copia non copre.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1130,"title":1131,"description":1132,"published":1133,"category":583,"image":1134,"draft":587},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security è attivo. La tabella resta pubblica.","Attivare Supabase Row Level Security non protegge una tabella. Lo fanno le policy, e quella che ha rimesso in piedi la tua app può far entrare chiunque.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1136,"title":1137,"description":1138,"published":1133,"category":683,"image":1139,"draft":587},"\u002Fblog\u002Fversion-history-is-not-a-backup","La cronologia delle versioni non è un backup dei tuoi dati.","Lovable e Bolt tengono una cronologia delle versioni del codice. Il tuo database è un servizio a parte, e tornare indietro non ti restituisce i dati.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1141,"title":1142,"description":1143,"published":1144,"category":683,"image":1145,"draft":587},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Tre modi per fare il backup di un database Supabase, e cosa manca","Il pannello, pg_dump e un servizio gestito. Che cosa salva davvero ciascuno, cosa lascia fuori senza dirlo e quale sopravvive alla perdita dell'account.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1147,"title":1148,"description":1149,"published":1144,"category":583,"image":1150,"draft":587},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quali chiavi API sono sicure nel browser e quali no","La tua chiave anon di Supabase è fatta per essere pubblica. La chiave service_role no, e ignora ogni regola che imposti. Come distinguerle.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213651560]