[{"data":1,"prerenderedAt":935},["ShallowReactive",2],{"blog-it-aws-access-key-exposed-in-frontend":3,"blog-index-it":406},{"id":4,"title":5,"body":6,"category":363,"cover":364,"coverAlt":365,"description":366,"draft":367,"extension":368,"faq":369,"image":383,"keywords":384,"meta":393,"navigation":394,"ogTitle":395,"path":396,"published":397,"seo":398,"stem":399,"tldr":400,"updated":397,"__hash__":405},"blog_it\u002Fblog\u002Faws-access-key-exposed-in-frontend.md","Una chiave AWS esposta nel frontend non è come una chiave OpenAI",{"type":7,"value":8,"toc":350},"minimark",[9,18,21,26,39,45,59,65,69,72,79,85,91,97,100,104,107,110,116,119,128,132,135,138,141,150,155,159,162,171,198,209,217,221,224,227,238,241,245,251,260,280,290,307,310,314,337],[10,11,12,13,17],"p",{},"Qualcuno apre la tua app in un browser, preme F12 e trova una stringa che\ninizia con ",[14,15,16],"code",{},"AKIA"," dentro il tuo codice frontend. Oppure GitHub ti scrive che un\ncommit caricato a marzo porta una credenziale AWS. Il consiglio che arriva con\nentrambe le cose è sempre lo stesso: ruota la chiave. Per la maggior parte\ndelle chiavi quella è quasi tutta la risposta.",[10,19,20],{},"Ecco la parte che guida dopo guida sbaglia. Una chiave di accesso AWS esposta\nnel tuo frontend non è una chiave che spende soldi. È una chiave che apre cose,\ne le due vanno storte in direzioni diverse. Una chiave che spende soltanto è\nuna carta aziendale: qualcuno fa un conto, tu blocchi la carta, e il danno è\nuna cifra che leggi su un estratto. Una chiave che apre cose è il mazzo del\nmagazzino. Cosa raggiunge dipende da cosa ci hanno scritto sopra quando è stata\nfatta, e lo leggi su una sola schermata della tua console AWS.",[22,23,25],"h2",{"id":24},"cosa-significa-akia-allinizio-di-una-chiave","Cosa significa AKIA all'inizio di una chiave?",[10,27,28,29,31,32,35,36,38],{},"Segna una chiave di accesso a lunga durata, che appartiene a un utente del tuo\naccount oppure al login root dell'account. AWS scrive il prefisso nella propria\nguida agli identificatori: ",[14,30,16],{}," per le chiavi di accesso e ",[14,33,34],{},"ASIA"," per quelle\ntemporanee che distribuisce il servizio di token. Quindi i primi quattro\ncaratteri ti dicono con quale tipo hai a che fare, e ",[14,37,16],{}," è il tipo senza\nscadenza. Funziona finché qualcuno non la spegne.",[10,40,41,42,44],{},"Una credenziale AWS sono due stringhe, e una richiesta ha bisogno di entrambe\nper essere firmata. La prima è l'identificatore della chiave di accesso, la\nparte che inizia con ",[14,43,16],{},". La seconda è la chiave di accesso segreta, una\nstringa più lunga senza nessun prefisso davanti. L'identificatore da solo non\nfirma niente.",[10,46,47,48,50,51,54,55,58],{},"Vale la pena controllarlo prima di decidere quanto sia brutta questa mattina,\nperché cambia la risposta. Se il tuo bundle porta la stringa ",[14,49,16],{}," e niente\nche somigli alla sua metà segreta, un visitatore che ha letto la tua pagina si\nè portato via il nome della chiave e non la chiave. In pratica le due viaggiano\ninsieme, perché quello che ha messo una nel browser le ha messe entrambe: una\ncoppia di variabili d'ambiente chiamate ",[14,52,53],{},"AWS_ACCESS_KEY_ID"," e\n",[14,56,57],{},"AWS_SECRET_ACCESS_KEY",", lette da codice che doveva girare su un server.",[60,61],"diagram",{"alt":62,"caption":63,"src":64},"Due valori impilati a sinistra: uno corto in turchese con scritto AKIA e, sotto, uno più lungo il cui contenuto è disegnato come blocchi oscurati. I due confluiscono in una freccia verso un documento con un sigillo a forma di chiave, spuntato. Sotto una linea di separazione, il valore AKIA da solo porta a una croce.","Le due metà insieme firmano una richiesta. L'identificatore da solo è un nome, e un nome non apre niente.","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Ftwo-strings-one-signature-1600x640.png",[22,66,68],{"id":67},"cosa-può-fare-qualcuno-con-la-mia-chiave-di-accesso-aws","Cosa può fare qualcuno con la mia chiave di accesso AWS?",[10,70,71],{},"Quello che i suoi permessi consentono, e niente oltre. Quindi le risposte sono\ntre.",[10,73,74,78],{},[75,76,77],"strong",{},"Cosa può leggere?"," Ogni bucket S3 che la policy elenca, e ogni oggetto\ndentro, compresi quelli a cui non hai mai messo un link da nessuna parte. Un\nbucket che niente nella tua app nomina non è nascosto a una credenziale che può\nelencarlo.",[10,80,81,84],{},[75,82,83],{},"Cosa può scrivere?"," Gli stessi posti, ed è la metà che si dimentica. Una\nchiave che può scrivere può anche sovrascrivere e cancellare, e un file\nsostituito sul posto sembra identico a quello che hai caricato finché qualcuno\nnon lo apre.",[10,86,87,90],{},[75,88,89],{},"Cosa può avviare?"," Questa è quella col tassametro. Una policy abbastanza\nlarga da far partire del calcolo fa partire del calcolo, e quello fattura a ore\nfinché gira. Niente nella copia che ha il browser limita quanta parte del tuo\naccount raggiunge; la policy è l'unico limite che esiste.",[10,92,93,94,96],{},"La versione peggiore di tutto questo è una chiave fatta per il login root\ndell'account. AWS scrive nelle proprie indicazioni sull'utente root che questo\nha accesso senza restrizioni a tutti i servizi AWS, alle risorse e ai dati di\nfatturazione, e sconsiglia di creargli chiavi di accesso. Se la chiave nella\ntua pagina inizia con ",[14,95,16],{}," e appartiene all'utente root, quello che è esposto\nè l'intero account e non un bucket.",[10,98,99],{},"Quindi non tirare a indovinare su niente di tutto questo. Apri IAM, trova\nl'utente a cui appartiene la chiave e leggi le policy agganciate. È una\nschermata, e risponde a tutte e tre le domande qui sopra.",[22,101,103],{"id":102},"basta-ruotarla","Basta ruotarla?",[10,105,106],{},"Disattiva oggi la chiave esposta, e non mettere una sostituta nello stesso\nposto.",[10,108,109],{},"Disattivare è la prima mossa giusta ed è più gentile di come suona. AWS lascia\na un utente fino a due chiavi di accesso attive insieme, e questo esiste\nproprio perché una sostituta possa salire prima che la vecchia scenda.\nDisattivare lascia la chiave lì e spenta, e si può riaccendere; cancellare è\nirreversibile, e la metà segreta di una chiave cancellata non si recupera.\nQuindi disattiva, guarda cosa si rompe e cancella dopo.",[10,111,112,113,115],{},"Quello che non chiude la faccenda è creare una chiave nuova e incollarla dove\nstava la vecchia. La fuga non riguardava davvero quel singolo valore.\nRiguardava un browser che tiene una credenziale senza scadenza, e tutto quello\nche la tua pagina scarica lo scarica ogni visitatore. Una stringa ",[14,114,16],{}," appena\nfatta nello stesso bundle torna come lo stesso ritrovamento alla scansione\nsuccessiva.",[10,117,118],{},"AWS lo dice chiaramente nella propria guida di audit della sicurezza, parlando\ndi app mobili: non dovrebbero mai contenere chiavi di accesso incorporate,\nnemmeno cifrate. Un bundle del browser si legge più facilmente di un binario,\nquindi la stessa risposta vale qui e costa meno lavoro a un estraneo.",[10,120,121,122,127],{},"Se hai già trovato la chiave in un posto pubblico, l'ordine in cui lavori\nconta, e\n",[123,124,126],"a",{"href":125},"\u002Fblog\u002Fapi-key-leaked-what-to-do","cosa fare quando trapela una chiave API","\nmette in fila quell'ordine per chiavi di ogni tipo.",[22,129,131],{"id":130},"cosa-fa-invece-una-presigned-url","Cosa fa invece una presigned URL",[10,133,134],{},"Lascia che il browser faccia una cosa sola su un file solo senza tenere nessuna\ncredenziale.",[10,136,137],{},"Il tuo server si tiene la chiave di accesso, dove un visitatore non può\nleggerla. Quando la tua pagina deve mettere un file in S3 o tirarne fuori uno,\nlo chiede al tuo server, e il tuo server firma una URL per quell'oggetto e\nquell'azione e la restituisce. Il browser usa la URL e non si porta dietro\nnient'altro. AWS descrive una presigned URL come accesso temporaneo agli\noggetti S3 senza credenziali AWS, e lo stesso meccanismo copre download e\nupload.",[10,139,140],{},"Torniamo al magazzino. Una presigned URL è incontrare il corriere alla porta\ncon la cassa che era venuto a prendere, invece di passargli il mazzo e sperare\nche la trovi. Quello che il corriere si porta via smette di funzionare quando\nil suo orologio finisce.",[10,142,143,144,146,147,149],{},"Per il caso in cui ogni persona autenticata arriva ai propri file, AWS indica\ndi nuovo altrove: le sue indicazioni su come proteggere le chiavi di accesso\ndicono che le app mobili dovrebbero usare Amazon Cognito per le identità invece\ndi incorporare chiavi di accesso. Quello che Cognito dà al browser è una\ncredenziale temporanea, il tipo ",[14,145,34],{}," dall'inizio di questo articolo, che\nsmette di funzionare da sola dopo un po'. Una copia raschiata dalla tua pagina\nun martedì è già morta il mercoledì, e questa è l'unica proprietà che una\nchiave ",[14,148,16],{}," non ha.",[60,151],{"alt":152,"caption":153,"src":154},"Due percorsi disegnati uno sopra l'altro. In alto un browser con una chiave accanto, una freccia e una scaffalatura di otto file su due ripiani. In basso lo stesso browser, una freccia verso un server che tiene la chiave, e un'altra freccia verso un singolo file con accanto un quadrante di orologio.","Il percorso in alto mette nel browser qualcosa che vale su ogni file, domani come oggi. Quello in basso gli dà un file e una scadenza.","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fkey-or-url-1600x700.png",[22,156,158],{"id":157},"come-verifico-se-la-mia-app-spedisce-una-chiave-aws","Come verifico se la mia app spedisce una chiave AWS?",[10,160,161],{},"Cerca in quello che il browser ha scaricato, non in quello che sta nel\nprogetto. Sono due file diversi, e quello che conta è quello che ricevono i\ntuoi visitatori.",[10,163,164,167,168,170],{},[75,165,166],{},"Nel browser."," Apri il tuo sito pubblicato, premi F12 e cerca ",[14,169,16],{}," nel\nJavaScript caricato. Chrome ed Edge cercano in tutti i file caricati in una\nvolta dal pannello Sources.",[10,172,173,176,177,179,180,54,182,184,185,188,189,192,193,197],{},[75,174,175],{},"Nel progetto."," Cerca ",[14,178,16],{},", ",[14,181,53],{},[14,183,57],{},". Poi cerca i due prefissi che mettono un valore nel\nbundle apposta, ",[14,186,187],{},"VITE_"," e ",[14,190,191],{},"NEXT_PUBLIC_",", e leggi ogni valore dietro di loro.\n",[123,194,196],{"href":195},"\u002Fblog\u002Fvite-and-next-public-env-vars","Perché quei due prefissi pubblicano tutto quello che nominano","\nè la meccanica dietro la maggior parte di questi casi, ed è una regola della\nbuild che nessuno ha digitato per sbaglio.",[10,199,200,203,204,208],{},[75,201,202],{},"Da fuori."," La nostra scansione gratuita legge il tuo sito pubblicato come\nfarebbe un estraneo e dice quali credenziali vede in quello che hai spedito,\nquesta compresa. Ci mette circa 20 secondi e non chiede un account:\n",[123,205,207],{"href":206},"\u002Fsecurity-scanner","scansiona la tua app gratis",".",[10,210,211,212,216],{},"Su tutte le app che abbiamo scansionato questo è un ritrovamento raro: una\nchiave di accesso AWS è saltata fuori in 9 delle 31.056 app in cui quel\ncontrollo è arrivato in fondo. Quelle che escono molto più spesso sono le\nchiavi Google, di solito a posto, e quelle di OpenAI, di solito no.\n",[123,213,215],{"href":214},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Cosa esce davvero dalle app costruite così","\nle mette tutte una accanto all'altra con i numeri.",[22,218,220],{"id":219},"cosa-ha-fatto-la-chiave-mentre-era-fuori","Cosa ha fatto la chiave mentre era fuori",[10,222,223],{},"Apri la cronologia eventi di CloudTrail e filtrala sull'identificatore della\nchiave di accesso.",[10,225,226],{},"La cronologia eventi è accesa in ogni account AWS senza dover attivare niente,\ntiene gli ultimi 90 giorni e non costa nulla in più. Ogni voce porta\nl'identificatore della chiave che ha fatto la chiamata, quindi puoi rileggere\ncosa ha fatto la tua. Questo risponde alle domande sulla configurazione: un\nbucket creato, una policy cambiata, un utente aggiunto.",[10,228,229,230,233,234,237],{},"Poi c'è la parte che conviene sapere prima di andare a guardare. La cronologia\ntiene gli eventi di ",[75,231,232],{},"management",". Leggere un oggetto da S3 è un evento di\n",[75,235,236],{},"data",", e AWS dice esplicitamente che i trail non li registrano per\nimpostazione predefinita e che gli eventi di data non compaiono affatto nella\ncronologia. Accenderli registra da quel momento in avanti.",[10,239,240],{},"Quindi la lettura onesta è questa. Se la chiave è servita a cambiare il tuo\naccount, il registro te lo mostra. Se è servita a scaricare il contenuto di un\nbucket, probabilmente no, e stai decidendo cosa dire ai tuoi clienti sapendo\nche può essere successo.",[22,242,244],{"id":243},"come-tenere-una-chiave-fuori-dalla-prossima-build","Come tenere una chiave fuori dalla prossima build",[10,246,247,250],{},[75,248,249],{},"Una credenziale parte verso il browser al momento della build, quindi il\nprossimo deploy è quello da tenere d'occhio."," La chiave che togli oggi torna\ndentro il pomeriggio in cui qualcuno aggiunge una funzione che ha bisogno di S3\ne chiede a un agente di collegarla.",[10,252,253],{},[75,254,255,259],{},[123,256,258],{"href":257},"\u002Fwebsite-monitoring","Reeve Monitor"," rilegge per te il tuo sito pubblicato:",[261,262,263,267,274,277],"ul",{},[264,265,266],"li",{},"tutti e nove i controlli ogni ora, su un massimo di tre app",[264,268,269,270,273],{},"un messaggio quando un risultato ",[75,271,272],{},"cambia",", così una chiave arrivata di martedì non aspetta che tu guardi",[264,275,276],{},"se l'app risponde, ogni 60 secondi",[264,278,279],{},"un report mensile di quello che ha visto",[10,281,282],{},[75,283,284,285,289],{},"Se la tua app tiene i dati in un progetto Supabase,\n",[123,286,288],{"href":287},"\u002Fsupabase-backups","Reeve Care"," ne conserva anche una copia:",[261,291,292,295,298,301,304],{},[264,293,294],{},"una copia cifrata del tuo database Supabase ogni notte, tenuta dove il tuo progetto non arriva",[264,296,297],{},"ogni copia verificata prima di contare, contando le righe di ogni tabella",[264,299,300],{},"un ripristino con un clic quando ti serve",[264,302,303],{},"anche i tuoi file caricati, appena colleghi una credenziale Storage",[264,305,306],{},"tutto quello che fa Monitor",[10,308,309],{},"Ognuno di quei nove controlli descrive cosa può raggiungere un estraneo. Una\ncopia del database di ieri notte risponde all'altra domanda, quella su cosa\nqualcuno ha già cambiato mentre la chiave era fuori.",[22,311,313],{"id":312},"cosa-fare-questa-settimana","Cosa fare questa settimana",[315,316,317],"key-takeaways",{},[261,318,319,325,328,331,334],{},[264,320,321,322,324],{},"Apri il tuo sito pubblicato, premi F12 e cerca ",[14,323,16],{}," nel JavaScript caricato. Quello è il file che hanno i tuoi visitatori, ed è l'unico che conta.",[264,326,327],{},"Se ne trovi una, disattivala oggi in IAM. Disattivare è reversibile e vale subito; cancellare no, e la metà segreta non si recupera.",[264,329,330],{},"Leggi le policy agganciate all'utente della chiave prima di decidere quanto sia seria la cosa. Cosa può leggere, cosa può scrivere e cosa può avviare sono tre risposte separate.",[264,332,333],{},"Cambia lo schema invece del valore. Il tuo server tiene la chiave e firma una presigned URL per un oggetto, oppure Amazon Cognito dà al browser una credenziale temporanea che scade da sola.",[264,335,336],{},"Filtra la cronologia eventi di CloudTrail sulla chiave per gli ultimi 90 giorni. Ti mostra cosa ha configurato la chiave, e non ti mostra quali file ha letto a meno che gli eventi di data non fossero già accesi.",[10,338,339,340,344,345,349],{},"Parti dalla ricerca con F12, perché in un minuto risolve se hai un problema o\nno. Se salta fuori qualcosa, la\n",[123,341,343],{"href":342},"\u002Fchecklist","checklist di sicurezza in 10 minuti"," copre il resto di quello che\nun'app appena lanciata tende a lasciare aperto, e\n",[123,346,348],{"href":347},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","spostare un segreto in una edge function","\nè lo schema per ogni chiave che non sarebbe mai dovuta stare nella pagina.",{"title":351,"searchDepth":352,"depth":352,"links":353},"",3,[354,356,357,358,359,360,361,362],{"id":24,"depth":355,"text":25},2,{"id":67,"depth":355,"text":68},{"id":102,"depth":355,"text":103},{"id":130,"depth":355,"text":131},{"id":157,"depth":355,"text":158},{"id":219,"depth":355,"text":220},{"id":243,"depth":355,"text":244},{"id":312,"depth":355,"text":313},"Basi della sicurezza","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcover-1200x630.png","Una pagina di codice con un valore corto acceso e uno lungo coperto, una chiave appoggiata di traverso sul suo angolo e, dietro, una scaffalatura di file.","Una chiave di accesso AWS esposta nel tuo frontend legge e scrive il tuo storage. La soluzione di solito è una presigned URL, non una chiave nuova.",false,"md",[370,373,375,378,380],{"q":371,"a":372},"È mai sicuro mettere chiavi AWS nel codice del frontend?","No. Lo dice AWS nella propria guida di audit della sicurezza, parlando di app mobili: un'app non dovrebbe mai contenere chiavi di accesso incorporate, nemmeno cifrate. Un bundle del browser si legge più facilmente di un binario, quindi la stessa risposta vale qui e costa meno lavoro a un estraneo. Se la tua pagina deve davvero raggiungere S3, le strade previste sono una presigned URL firmata dal tuo server, oppure credenziali temporanee di Amazon Cognito, che scadono da sole.",{"q":68,"a":374},"Esattamente quello che i suoi permessi consentono, ed è per questo che non esiste una risposta sola. Una chiave agganciata a un utente con accesso in lettura a un bucket legge quel bucket. Una chiave agganciata a un amministratore fa tutto quello che fa un amministratore, compreso avviare macchine che fatturano a ore. Una chiave dell'utente root dell'account è il caso peggiore, perché AWS scrive che l'utente root ha accesso senza restrizioni a tutti i servizi, alle risorse e ai dati di fatturazione. Apri IAM e leggi le policy agganciate alla chiave prima di decidere quanto preoccuparti.",{"q":376,"a":377},"Che cos'è una presigned URL?","Una URL lunga che permette a un browser di fare una cosa sola su un file solo in S3, per un numero fissato di secondi, senza tenere nessuna credenziale AWS. Il tuo server tiene la chiave e firma la URL quando gliela chiedono. AWS descrive le presigned URL come accesso temporaneo agli oggetti S3 senza credenziali AWS, e funzionano sia per i download sia per gli upload.",{"q":158,"a":379},"Cerca in quello che il tuo browser ha scaricato, non in quello che sta nel progetto. Apri il tuo sito pubblicato, premi F12 e cerca AKIA nel JavaScript caricato. Poi cerca nel progetto AKIA, AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY, e qualsiasi nome di variabile che inizi con VITE_ o NEXT_PUBLIC_ e ne contenga una, perché sono quei prefissi a mettere un valore nel bundle in partenza.",{"q":381,"a":382},"La mia chiave AWS è su GitHub. E adesso?","Disattivala prima in IAM, cosa reversibile e che vale subito, poi crea una sostituta per il server che ne aveva bisogno. Toglierla dal codice non chiude niente, perché il valore vecchio resta nella cronologia dei commit e in ogni clone che qualcuno abbia fatto. Dopo apri la cronologia eventi di CloudTrail e filtra sulla chiave per vedere cosa ha fatto.","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",[385,386,387,388,389,390,391,392],"chiave di accesso aws esposta nel frontend","chiave aws nel frontend","chiave di accesso aws trapelata","chiave akia esposta","aws secret access key in javascript","credenziali aws lato client","chiavi aws in react sono sicure","chiave aws su github",{},true,"Chiave di accesso AWS esposta nel tuo frontend?","\u002Fblog\u002Faws-access-key-exposed-in-frontend","2026-10-12",{"title":5,"description":366},"blog\u002Faws-access-key-exposed-in-frontend",[401,402,403,404],"Una chiave di accesso AWS esposta nel tuo frontend è un problema diverso da quello di una chiave che può solo spendere soldi. Cosa raggiunge lo decidono i suoi permessi.","Due stringhe firmano una richiesta AWS: un identificatore che inizia con `AKIA`, e una metà segreta. Una senza l'altra non firma niente.","Una chiave nuova incollata nello stesso posto è lo stesso ritrovamento con un valore diverso. La soluzione è una presigned URL, così il browser non tiene nessuna credenziale.","Ne abbiamo trovata una in 9 delle 31.056 app scansionate in cui quel controllo è arrivato in fondo.","vZO2NGfcN5lGkMZXpz2sgxWE1C87ZA0qNyKIMACBqrA",[407,413,419,425,431,437,443,449,455,461,467,474,480,486,492,498,504,510,516,522,528,534,540,546,552,558,564,570,576,577,583,589,594,600,606,612,617,623,629,635,641,647,653,659,665,671,676,682,688,694,700,706,712,718,723,729,735,741,747,753,759,765,771,777,783,789,795,801,807,813,818,824,830,836,842,848,854,860,866,872,878,884,890,896,901,907,913,919,924,930],{"path":408,"title":409,"description":410,"published":411,"category":363,"image":412,"draft":367},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\", spiegato","Supabase \"max client connections reached\": il pooler non ha posto per un altro client. La porta nella tua stringa di connessione decide il limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":414,"title":415,"description":416,"published":417,"category":363,"image":418,"draft":367},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Errore Supabase: \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\": Google è disattivato nel tuo progetto Supabase. Come attivarlo e risolvere redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":420,"title":421,"description":422,"published":423,"category":363,"image":424,"draft":367},"\u002Fblog\u002Fviolates-foreign-key-constraint","Errore Supabase \"violates foreign key constraint\" all'inserimento","Supabase \"insert or update on table violates foreign key constraint\": la tua riga punta a una riga che non c'è. Quale, perché, e la soluzione.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":426,"title":427,"description":428,"published":429,"category":363,"image":430,"draft":367},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Errore Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\": una colonna obbligatoria è arrivata vuota. Da dove viene il null, e la soluzione.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":432,"title":433,"description":434,"published":435,"category":363,"image":436,"draft":367},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\": dove è finita la sessione","\"Auth session missing!\" è supabase-js che non trova nessuna sessione e non arriva nemmeno a chiedere a Supabase. Dove è finita la sessione, e la correzione.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":438,"title":439,"description":440,"published":441,"category":363,"image":442,"draft":367},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\": nessun utente connesso","\"invalid claim: missing sub claim\": Supabase Auth ha ricevuto un token autentico senza alcun utente, la chiave del progetto al posto di una sessione.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":444,"title":445,"description":446,"published":447,"category":363,"image":448,"draft":367},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\": la causa vera","\"Failed to send a request to the Edge Function\": il browser non ha ricevuto una risposta leggibile. La sua console dice perché e se la tua funzione è partita.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":450,"title":451,"description":452,"published":453,"category":363,"image":454,"draft":367},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Perché i link email di Supabase reindirizzano a localhost:3000","Se Supabase reindirizza a localhost:3000, la Site URL non è mai stata cambiata o il tuo indirizzo manca in Redirect URLs. La soluzione, e il jolly da evitare.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":456,"title":457,"description":458,"published":459,"category":363,"image":460,"draft":367},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" su un link nuovo","Su un link inviato un minuto fa, \"Email link is invalid or has expired\" di Supabase di solito vuol dire che un filtro della posta l'ha usato prima.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":462,"title":463,"description":464,"published":465,"category":363,"image":466,"draft":367},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\", spiegato","Supabase \"canceling statement due to statement timeout\": una query ha superato il limite del suo ruolo, 3 secondi per un visitatore. Guarda la policy RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":468,"title":469,"description":470,"published":471,"category":472,"image":473,"draft":367},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" su Supabase, e cosa porta con sé","\"Database error deleting user\" su Supabase: il tuo database ha rifiutato la cancellazione. La causa è nei log, e la soluzione decide cos'altro sparisce.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":475,"title":476,"description":477,"published":478,"category":363,"image":479,"draft":367},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" su Supabase","Un webhook Stripe in una Edge Function di Supabase dice \"No signatures found matching the expected signature\"? Due cause. Non smettere di verificare.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":481,"title":482,"description":483,"published":484,"category":363,"image":485,"draft":367},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" in Supabase: le tre cause","Supabase dice \"Invalid login credentials\" per una password sbagliata, un'email sconosciuta e un account Google. Come capire quale.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":487,"title":488,"description":489,"published":490,"category":363,"image":491,"draft":367},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\": l'errore vero","\"Edge Function returned a non-2xx status code\" vuol dire che la tua funzione Supabase ha risposto con un errore. Ecco dove leggere quello vero.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":493,"title":494,"description":495,"published":496,"category":363,"image":497,"draft":367},"\u002Fblog\u002Fcertificate-not-trusted","Certificato non attendibile: tre cause oltre alla scadenza","Certificato non attendibile anche se la data è giusta? Nomina un altro indirizzo, si è firmato da solo o alla sua catena manca un anello. Come capirlo.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":499,"title":500,"description":501,"published":502,"category":363,"image":503,"draft":367},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\": leggi le virgolette","Supabase \"invalid input syntax for type uuid\": la tua app ha inviato qualcosa che non è un id. Leggi le virgolette, ferma la query, tieni la colonna.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":505,"title":506,"description":507,"published":508,"category":363,"image":509,"draft":367},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\", spiegato","Supabase \"duplicate key value violates unique constraint\": il valore è già preso. Trova la colonna, scegli una correzione, tieni il valore fuori schermo.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":511,"title":512,"description":513,"published":514,"category":363,"image":515,"draft":367},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" quando la tabella c'è","Supabase \"relation does not exist\" o PGRST205: nessuna tabella ha quel nome in quello schema. Quattro controlli, e che cosa apre esporre uno schema.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":517,"title":518,"description":519,"published":520,"category":363,"image":521,"draft":367},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" riporta i nomi degli argomenti inviati dalla tua app. Confrontali con la funzione.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":523,"title":524,"description":525,"published":526,"category":363,"image":527,"draft":367},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" di solito è un nome che non torna. Quattro controlli in ordine e la riga che ricarica.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":529,"title":530,"description":531,"published":532,"category":363,"image":533,"draft":367},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\": due limiti, un solo codice","Supabase \"Email Rate Limit Exceeded\" limita ogni email del tuo progetto: 2 all'ora con il mittente integrato. Cosa conta e come alzarlo.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":535,"title":536,"description":537,"published":538,"category":363,"image":539,"draft":367},"\u002Fblog\u002Fsupabase-users-logged-out","Supabase \"Invalid Refresh Token: Refresh Token Not Found\": 3 cause","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" disconnette i tuoi utenti. Tre cause, e come il log di Auth le distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":541,"title":542,"description":543,"published":544,"category":363,"image":545,"draft":367},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\": tre cause","Supabase \"permission denied for schema public\" indica un grant mancante sullo schema. Cosa lo ha tolto, e la riga che lo rimette.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":547,"title":548,"description":549,"published":550,"category":363,"image":551,"draft":367},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\": le tre cose che può voler dire","Supabase \"Bucket not found\" è una di tre cose: un link pubblico a un bucket privato, un nome non esattamente uguale o il progetto sbagliato.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":553,"title":554,"description":555,"published":556,"category":363,"image":557,"draft":367},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT: quale chiave ha smesso di funzionare?","Un errore Supabase invalid JWT è PGRST301: un token firmato non ha superato la verifica. Su un progetto recente riguarda la sessione, non la chiave API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":559,"title":560,"description":561,"published":562,"category":363,"image":563,"draft":367},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" quasi sempre è nessuna","Supabase restituisce PGRST116, \"JSON object requested, multiple (or no) rows returned\", quando la query non ha trovato nulla. Una riga nascosta sembra assente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":565,"title":566,"description":567,"published":568,"category":363,"image":569,"draft":367},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" su Supabase: dove guardare","\"Database error saving new user\" vuol dire che qualcosa attaccato alla registrazione Supabase è fallito. L'errore vero sta nei tuoi log.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":571,"title":572,"description":573,"published":574,"category":363,"image":575,"draft":367},"\u002Fblog\u002Fwhat-is-supabase","Cos'è Supabase? Il database che ha scelto il tuo builder","Cos'è Supabase: il database, il login e l'archivio file dietro la tua app. Supabase manda avanti i server; le regole su chi legge le tue righe sono tue.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":396,"title":5,"description":366,"published":397,"category":363,"image":383,"draft":367},{"path":578,"title":579,"description":580,"published":581,"category":363,"image":582,"draft":367},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" in upload","\"New row violates row-level security policy for table objects\" vuol dire che al tuo upload manca una regola insert. Rendere pubblico il bucket non ne aggiunge.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":584,"title":585,"description":586,"published":587,"category":363,"image":588,"draft":367},"\u002Fblog\u002Fbase44-security-scan","Scansione di sicurezza Base44: ciò che vede solo lei","La scansione di sicurezza Base44 controlla sette tipi di problema dall’interno. Ecco la metà che legge e che nessun altro legge, e quella che non guarda mai.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":125,"title":590,"description":591,"published":592,"category":363,"image":593,"draft":367},"La tua chiave API è trapelata. L'ordine in cui muoverti","Una chiave API è trapelata e non sai da cosa cominciare. Non tutte le chiavi nel frontend lo sono, e l'ordine conta più della velocità.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":595,"title":596,"description":597,"published":598,"category":363,"image":599,"draft":367},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" senza disattivare RLS","\"Infinite recursion detected in policy for relation\" significa che la tua policy ha interrogato la tabella che protegge. Ecco come rompere il cerchio.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":601,"title":602,"description":603,"published":604,"category":363,"image":605,"draft":367},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" su Supabase, e la correzione sbagliata","\"No API key found in request\" significa che la tua richiesta è arrivata a Supabase senza chiave. Quasi tutte le risposte indicano le regole del database.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":607,"title":608,"description":609,"published":610,"category":363,"image":611,"draft":367},"\u002Fblog\u002Fis-base44-safe","Base44 è sicuro? Cosa abbiamo trovato in 5.442 app","Base44 è sicuro? Abbiamo passato nove controlli su 5.442 app Base44 online. Quasi tutte hanno preso B, per motivi che il proprietario non ha mai scelto.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":347,"title":613,"description":614,"published":615,"category":363,"image":616,"draft":367},"Nascondere una chiave API: spostala in una Edge Function Supabase","Nascondere una chiave API vuol dire toglierla dal browser, e una Edge Function Supabase è il posto più piccolo dove metterla. Due passaggi contano di più.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":618,"title":619,"description":620,"published":621,"category":363,"image":622,"draft":367},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Il tuo file .env è esposto? I dodici percorsi da provare","Il tuo file .env è esposto sul tuo server web? Dodici indirizzi te lo dicono, e una risposta significa che tutto quello che contiene è già pubblico.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":624,"title":625,"description":626,"published":627,"category":363,"image":628,"draft":367},"\u002Fblog\u002Fis-v0-safe","Sicurezza di v0: tutte le 1.790 app v0 analizzate hanno preso A","La sicurezza di v0 misurata su 1.790 app v0 online: tutte hanno preso A. Solo 17 nominavano un database, ed è soprattutto questo che misura quella A.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":630,"title":631,"description":632,"published":633,"category":363,"image":634,"draft":367},"\u002Fblog\u002Fis-bolt-safe","Bolt è sicuro? Cosa abbiamo trovato in 1.123 app Bolt","Bolt è sicuro? Abbiamo passato 1.123 app Bolt online per nove controlli. L’hosting era pulito. I rilievi erano chiavi e tabelle aperte dentro le app.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":636,"title":637,"description":638,"published":639,"category":363,"image":640,"draft":367},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase è down o è la tua app? Come capirlo","Supabase è down o è la tua app? Un progetto in pausa, un database pieno e un tuo errore sembrano la stessa cosa. Quattro controlli li separano.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":642,"title":643,"description":644,"published":645,"category":363,"image":646,"draft":367},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase crittografa i miei dati? Sì. Ecco da cosa protegge","Supabase crittografa i dati? Sì: AES-256 a riposo, TLS in transito, SOC 2 e ISO 27001. Cosa copre ciascuno, e la fuga di dati che nessuno di questi ferma.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":648,"title":649,"description":650,"published":651,"category":363,"image":652,"draft":367},"\u002Fblog\u002Fsupabase-free-plan-limits","Supabase: prezzi e limiti del piano gratuito, uno per uno","Prezzi e limiti del piano gratuito di Supabase: 500 MB di database, 5 GB di egress e nessun backup. Cosa succede a ogni soglia e cosa cambia Pro a $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":654,"title":655,"description":656,"published":657,"category":472,"image":658,"draft":367},"\u002Fblog\u002Ftest-your-supabase-backup","Testa il tuo backup di Supabase prima del giorno in cui serve","Come testare il tuo backup di Supabase: ripristinarlo in un progetto di prova, contare le righe, accedere e cercare la riga che manca a un file troncato.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":660,"title":661,"description":662,"published":663,"category":472,"image":664,"draft":367},"\u002Fblog\u002Fsupabase-backup-github-action","Backup gratis di Supabase con una GitHub Action, e il tranello","Un backup di Supabase con una GitHub Action è gratis e va bene per molte app. Il workflow, la connection string giusta e l'egress di ogni esecuzione.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":666,"title":667,"description":668,"published":669,"category":472,"image":670,"draft":367},"\u002Fblog\u002Fdownload-your-supabase-backup","Perché non puoi scaricare il tuo backup di Supabase","Non puoi scaricare il tuo backup di Supabase su un progetto recente, perché la copia giornaliera è uno snapshot fisico. Come verificarlo e tenere una copia tua.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":672,"title":673,"description":674,"published":669,"category":363,"image":675,"draft":367},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\": il grant mancante","Dal 30 ottobre una nuova tabella di Supabase risponde \"permission denied for table\" finché non concedi l'accesso. Il grant della mail è metà della soluzione.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":677,"title":678,"description":679,"published":680,"category":363,"image":681,"draft":367},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint API aperto è un problema di sicurezza? Leggi il JSON","La tua scansione ha segnalato un endpoint API aperto. Quanto conti dipende da che cosa è tornato, e la maggior parte di quelli trovati era della piattaforma.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":683,"title":684,"description":685,"published":686,"category":363,"image":687,"draft":367},"\u002Fblog\u002Flovable-security-scan","Scansione di sicurezza Lovable: cosa non può dimostrare","Scansione di sicurezza Lovable: cosa controllano Quick scan e Deep scan, quando parte ciascuno, e l’unica cosa che nessuna scansione dall’interno dimostra.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":689,"title":690,"description":691,"published":692,"category":472,"image":693,"draft":367},"\u002Fblog\u002Fsupabase-backup-auth-users","Perché nel tuo dump Supabase non ci sono utenti","Lancia supabase db dump da solo e ottieni la forma del tuo database e nessuna delle sue righe, senza lo schema auth in cui vivono i tuoi utenti.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":695,"title":696,"description":697,"published":698,"category":363,"image":699,"draft":367},"\u002Fblog\u002Fdomain-and-certificate-expiry","Dominio scaduto, sito offline: cosa succede adesso","Il tuo dominio è scaduto e il sito è offline. Il conto alla rovescia che parte, perché il certificato è il problema minore, e come controllarli entrambi.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":701,"title":702,"description":703,"published":704,"category":363,"image":705,"draft":367},"\u002Fblog\u002Fis-lovable-safe","Lovable è sicuro? Cosa abbiamo trovato in 18.554 app Lovable","Lovable è sicuro? Abbiamo passato 18.554 app Lovable online per nove controlli. La piattaforma è risultata la più pulita di cinque. I rilievi stavano nelle app.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":707,"title":708,"description":709,"published":710,"category":363,"image":711,"draft":367},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist di sicurezza del vibe coding, in nove controlli","Una checklist di sicurezza del vibe coding in nove voci, ognuna verificabile dall’esterno sulla tua app dal vivo, e ognuna con un test di una riga.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":713,"title":714,"description":715,"published":716,"category":363,"image":717,"draft":367},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Una chiave segreta Stripe nel frontend può muovere denaro","Una chiave segreta Stripe esposta nel tuo frontend può rimborsare, addebitare e leggere ogni scheda cliente che hai. La tua chiave pk_live_ ci sta bene.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":195,"title":719,"description":720,"published":721,"category":363,"image":722,"draft":367},"Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica","Variabili d’ambiente Vite esposte: la tua app ha fatto ciò che il prefisso chiedeva. VITE_ e NEXT_PUBLIC_ vogliono dire pubblica, e l’IA non sapeva il costo.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":724,"title":725,"description":726,"published":727,"category":363,"image":728,"draft":367},"\u002Fblog\u002Fbase44-source-maps","Sicurezza Base44: cosa segnala uno scan e cosa tocca a te sistemare","Sicurezza Base44 su 5.438 app scansionate: tre segnalazioni su quasi tutte sono della piattaforma, la source map è il badge di Base44, la tua parte è corta.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":730,"title":731,"description":732,"published":733,"category":363,"image":734,"draft":367},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI è sicuro? L’editor, il codice e l’app che hai pubblicato","Cursor AI è sicuro? Tre domande in una ricerca: cosa tiene Cursor, cosa sbaglia il codice che scrive, e se l’app che hai pubblicato è aperta.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":736,"title":737,"description":738,"published":739,"category":363,"image":740,"draft":367},"\u002Fblog\u002Fis-replit-safe","Replit è sicuro? Cosa abbiamo trovato in 3.042 app Replit online","Replit è sicuro? Abbiamo passato 3.042 app Replit online per nove controlli esterni. I rilievi stavano nell’app pubblicata, non nell’host.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":742,"title":743,"description":744,"published":745,"category":472,"image":746,"draft":367},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup: la copia del database non ha nessun file","Un Supabase storage backup è un lavoro a parte. I backup del database tengono la lista dei tuoi file e nessuno dei file, quindi ogni upload resta rotto.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":748,"title":749,"description":750,"published":751,"category":472,"image":752,"draft":367},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery di Supabase: prezzo e limiti","Il point-in-time recovery di Supabase riavvolge il database a qualsiasi secondo della settimana scorsa. $100 al mese oltre a Pro, e copre solo il database.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":754,"title":755,"description":756,"published":757,"category":472,"image":758,"draft":367},"\u002Fblog\u002Fsupabase-project-paused-recover","Progetto Supabase in pausa? I tuoi dati sono ancora lì","Supabase ha messo in pausa il tuo progetto dopo una settimana senza attività. Non è cancellato niente, Ripristina è accanto al nome e hai un anno di tempo.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":760,"title":761,"description":762,"published":763,"category":363,"image":764,"draft":367},"\u002Fblog\u002Fsafest-ai-app-builder","Qual è il builder di app con IA più sicuro? 30.998 app testate","Qual è il builder di app con IA più sicuro? Abbiamo scansionato 30.998 app online di Lovable, Base44, Replit, v0 e Bolt. Non è il builder a decidere il voto.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":766,"title":767,"description":768,"published":769,"category":363,"image":770,"draft":367},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Attiva Row Level Security su ogni tabella Supabase, poi verificalo","Attivare Row Level Security su Supabase senza una policy chiude del tutto la tabella. Una policy senza il flag non fa nulla. Ecco lo SQL, e la verifica.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":772,"title":773,"description":774,"published":775,"category":363,"image":776,"draft":367},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\": cosa non vede l'avviso","Supabase segnala \"RLS disabled in public\" come errore. Non dice nulla della policy di lettura che lascia la tua tabella altrettanto aperta.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":778,"title":779,"description":780,"published":781,"category":363,"image":782,"draft":367},"\u002Fblog\u002Frotate-supabase-service-role-key","Come ruotare una chiave service_role Supabase trapelata","Supabase dice di chiudere prima la falla. Altre guide dicono di ruotare subito. Quale sia giusto dipende da dove è finita la tua chiave service_role.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":784,"title":785,"description":786,"published":787,"category":363,"image":788,"draft":367},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanner di sicurezza per vibe coding a confronto, il nostro incluso","Il miglior scanner di sicurezza per vibe coding dipende da tre domande che nessun elenco di funzioni affronta. Otto strumenti a confronto, con i prezzi.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":790,"title":791,"description":792,"published":793,"category":363,"image":794,"draft":367},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker: i cinque controlli da fare da soli","Un Supabase security checker legge la tua app pubblicata invece delle impostazioni del progetto. Ecco i cinque controlli che esegue e come farli da solo.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":796,"title":797,"description":798,"published":799,"category":363,"image":800,"draft":367},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner di sicurezza per vibe coding: cosa si perde","Uno scanner di sicurezza per vibe coding legge la tua app dal vivo, da fuori. Cosa copre, le quattro cose che non può vedere e come leggere il risultato.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":802,"title":803,"description":804,"published":805,"category":363,"image":806,"draft":367},"\u002Fblog\u002Fmissing-security-headers","Intestazioni di sicurezza mancanti: quando contano","Le intestazioni di sicurezza mancanti sono il rilievo che il nostro scanner stampa più spesso. Da cosa proteggono e quando sono la riga meno urgente.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":808,"title":809,"description":810,"published":811,"category":363,"image":812,"draft":367},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","La tua chiave API OpenAI è esposta nel frontend. Ruotala.","Una chiave API OpenAI esposta nel frontend non si può legare a nessun dominio. Ruotala oggi, sposta la chiamata sul tuo server e metti un tetto di spesa.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":214,"title":814,"description":815,"published":816,"category":363,"image":817,"draft":367},"Chiave API esposta nel frontend: cosa spediscono 30.998 app","Una chiave API esposta nel tuo frontend è quasi sempre una chiave di Google Maps. Abbiamo scansionato 30.998 app vibe-coded e contato cosa esce davvero.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":819,"title":820,"description":821,"published":822,"category":472,"image":823,"draft":367},"\u002Fblog\u002Fsupabase-backup-tools-compared","Strumenti di backup Supabase a confronto, il nostro incluso","Quattro tipi di strumento di backup Supabase, cosa copia davvero ognuno, e il caso in cui una GitHub Action gratuita batte il pagare chiunque, noi inclusi.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":825,"title":826,"description":827,"published":828,"category":363,"image":829,"draft":367},"\u002Fblog\u002Freplit-secrets-explained","Come usare i secret su Replit, e cosa viene comunque pubblicato","Come usare i secret su Replit: aggiungerne uno, rileggerlo e risolvere le due cause dell'undefined. E le chiavi che lo strumento non riesce a proteggere.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":831,"title":832,"description":833,"published":834,"category":472,"image":835,"draft":367},"\u002Fblog\u002Fback-up-supabase-free-tier","Backup del piano gratuito Supabase: farne uno senza terminale","Sul piano gratuito Supabase non esistono backup: la copia la fai tu. Come farne uno dalla dashboard e che cosa si lascia dietro la via del CSV.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":837,"title":838,"description":839,"published":840,"category":363,"image":841,"draft":367},"\u002Fblog\u002Fis-supabase-secure","Supabase è sicuro? Sì. Il tuo progetto è un'altra questione","Supabase è sicuro? La piattaforma è certificata, cifrata e sottoposta a pentest. La loro documentazione dice dove finisce quello e iniziano le tue impostazioni.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":843,"title":844,"description":845,"published":846,"category":363,"image":847,"draft":367},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Dove trovare le chiavi API di Supabase: anon, service_role e URL","L'URL del progetto, la chiave anon e la chiave service_role stanno su una pagina della dashboard. Ecco dove si trova e quale dei quattro va nella tua app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":849,"title":850,"description":851,"published":852,"category":363,"image":853,"draft":367},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy su Supabase. E adesso?","\"New row violates row-level security policy\" significa che Supabase ha rifiutato una scrittura. La soluzione veloce riapre la tabella a chiunque.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":855,"title":856,"description":857,"published":858,"category":363,"image":859,"draft":367},"\u002Fblog\u002Fcors-wildcard-security-risk","Un wildcard CORS è un rischio di sicurezza? Quasi mai.","Un wildcard CORS è un rischio di sicurezza? Di solito è il valore predefinito del tuo builder e non consegna nulla che il tuo server non desse già a chiunque.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":861,"title":862,"description":863,"published":864,"category":472,"image":865,"draft":367},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Il branching di Supabase non è un backup. Va solo in avanti.","Perché il branching di Supabase non è un backup: un branch parte senza i tuoi dati e un merge sposta solo lo schema. A cosa serve davvero e cosa usare invece.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":867,"title":868,"description":869,"published":870,"category":472,"image":871,"draft":367},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Come ripristinare un backup Supabase, e cosa si rompe dopo","Come ripristinare un backup Supabase dalla dashboard o da un file di dump, che cosa sostituisce il ripristino e perché la tua app può restare rotta lo stesso.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":873,"title":874,"description":875,"published":876,"category":363,"image":877,"draft":367},"\u002Fblog\u002Fsupabase-storage-bucket-public","Il tuo bucket Supabase Storage è pubblico. È un problema?","Un bucket Supabase Storage pubblico significa che chi ha l'URL di un file può aprirlo. Non significa che qualcuno possa elencare quello che c'è dentro.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":879,"title":880,"description":881,"published":882,"category":363,"image":883,"draft":367},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Una chiave API Google nel frontend è un problema?","Una chiave API Google esposta nel frontend è la chiave che il nostro scanner trova più spesso, e di solito va bene così. Lo decide una impostazione gratuita.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":885,"title":886,"description":887,"published":888,"category":472,"image":889,"draft":367},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agente IA ha cancellato i miei dati Supabase. Cosa recupero?","Un agente IA ha cancellato dati dal tuo database. Quello che puoi recuperare era già deciso prima che partisse, e i prossimi minuti decidono il resto.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":891,"title":892,"description":893,"published":894,"category":363,"image":895,"draft":367},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Chiunque può leggere il tuo database Supabase? 3.680 app testate","Chiunque può leggere il tuo database Supabase senza fare login? Abbiamo scansionato 30.998 app online create con i builder IA e misurato quante rispondono sì.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":897,"title":898,"description":899,"published":894,"category":363,"image":900,"draft":367},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source map esposte: la tua app sta pubblicando il codice originale","Una source map esposta permette a chiunque di leggere il codice originale della tua app, commenti inclusi. Il controllo da 30 secondi e cosa conta davvero.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":902,"title":903,"description":904,"published":905,"category":363,"image":906,"draft":367},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key: è la stessa della anon key?","Supabase ha sostituito anon e service_role con chiavi pubblicabili e segrete. Quale sta bene nella tua app, e quale non deve starci mai?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":908,"title":909,"description":910,"published":911,"category":472,"image":912,"draft":367},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase fa il backup del mio database? Dipende dal tuo piano.","Supabase fa il backup del tuo database? Ogni giorno sui piani a pagamento, mai su quello gratuito. Come capire cosa hai e cosa quella copia non copre.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":914,"title":915,"description":916,"published":917,"category":363,"image":918,"draft":367},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security è attivo. La tabella resta pubblica.","Attivare Supabase Row Level Security non protegge una tabella. Lo fanno le policy, e quella che ha rimesso in piedi la tua app può far entrare chiunque.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":920,"title":921,"description":922,"published":917,"category":472,"image":923,"draft":367},"\u002Fblog\u002Fversion-history-is-not-a-backup","La cronologia delle versioni non è un backup dei tuoi dati.","Lovable e Bolt tengono una cronologia delle versioni del codice. Il tuo database è un servizio a parte, e tornare indietro non ti restituisce i dati.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":925,"title":926,"description":927,"published":928,"category":472,"image":929,"draft":367},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Tre modi per fare il backup di un database Supabase, e cosa manca","Il pannello, pg_dump e un servizio gestito. Che cosa salva davvero ciascuno, cosa lascia fuori senza dirlo e quale sopravvive alla perdita dell'account.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":931,"title":932,"description":933,"published":928,"category":363,"image":934,"draft":367},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quali chiavi API sono sicure nel browser e quali no","La tua chiave anon di Supabase è fatta per essere pubblica. La chiave service_role no, e ignora ogni regola che imposti. Come distinguerle.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213651857]