[{"data":1,"prerenderedAt":1054},["ShallowReactive",2],{"blog-it-certificate-not-trusted":3,"blog-index-it":523},{"id":4,"title":5,"body":6,"category":481,"cover":482,"coverAlt":483,"description":484,"draft":485,"extension":486,"faq":487,"image":503,"keywords":504,"meta":512,"navigation":513,"ogTitle":5,"path":514,"published":515,"seo":516,"stem":517,"tldr":518,"updated":515,"__hash__":522},"blog_it\u002Fblog\u002Fcertificate-not-trusted.md","Certificato non attendibile: tre cause oltre alla scadenza",{"type":7,"value":8,"toc":467},"minimark",[9,13,16,25,30,33,36,39,131,134,137,141,144,156,186,189,200,204,207,210,238,244,247,251,254,257,260,263,267,270,273,276,281,299,303,306,309,333,338,341,359,363,366,369,376,384,388,391,399,410,419,430,434,459],[10,11,12],"p",{},"Ieri la tua app si caricava senza problemi. Oggi qualcuno ti manda lo screenshot\ndi un avviso del browser a tutta pagina, che dice che la connessione non è\nprivata, e ti chiede se il sito è stato violato. Apri il certificato ed è valido\nfino alla prossima primavera. Non è scaduto, eppure il browser dice che il\ncertificato non è attendibile.",[10,14,15],{},"La mossa ovvia è rinnovarlo, e per questa schermata è quella sbagliata. Ognuna\ndelle tre cause qui sotto colpisce un certificato già in data, quindi un rinnovo\nti dà una scadenza più lontana su un certificato che continua a essere\nrifiutato per un altro motivo.",[10,17,18,19,24],{},"Nel ",[20,21,23],"a",{"href":22},"\u002Fblog\u002Fdomain-and-certificate-expiry","nostro articolo sulla scadenza",", il\ncertificato è la licenza in vetrina che dice che questo negozio è davvero quello\ndell’insegna. Il browser di un visitatore legge tre cose su quella licenza prima\ndi far entrare chiunque: la data, il nome del negozio per cui è stata emessa e\nla firma di chi l’ha emessa. La scadenza è la data. Questo articolo parla delle\naltre due.",[26,27,29],"h2",{"id":28},"certificato-non-attendibile-anche-se-non-è-scaduto-perché","Certificato non attendibile anche se non è scaduto: perché?",[10,31,32],{},"Perché è fallito il nome o la firma, e il browser alza lo stesso muro per ognuno\ndei suoi controlli.",[10,34,35],{},"Un certificato è attendibile solo se nomina esattamente l’indirizzo nella barra\ndel visitatore ed è stato firmato da un’autorità di cui il browser si fida già,\ncon ogni certificato intermedio inviato insieme a lui. Se fallisce uno dei due,\nChrome mostra l’avviso che la connessione non è privata e Firefox quello di un\npotenziale rischio per la sicurezza, esattamente come per uno scaduto.",[10,37,38],{},"Quello che cambia è il testo piccolo sotto l’avviso. Leggilo prima di toccare\nqualsiasi cosa:",[40,41,42,61],"table",{},[43,44,45],"thead",{},[46,47,48,52,55,58],"tr",{},[49,50,51],"th",{},"Cosa mostra Chrome",[49,53,54],{},"Cosa dice la spiegazione di Firefox",[49,56,57],{},"Cosa significa",[49,59,60],{},"Cosa lo risolve",[62,63,64,82,98,113],"tbody",{},[46,65,66,73,76,79],{},[67,68,69],"td",{},[70,71,72],"code",{},"NET::ERR_CERT_COMMON_NAME_INVALID",[67,74,75],{},"Il certificato non è valido per il tuo indirizzo",[67,77,78],{},"È stato emesso per un altro nome",[67,80,81],{},"Un certificato che elenchi esattamente il tuo indirizzo",[46,83,84,89,92,95],{},[67,85,86],{},[70,87,88],{},"NET::ERR_CERT_AUTHORITY_INVALID",[67,90,91],{},"Il certificato non è attendibile perché è autofirmato",[67,93,94],{},"Nessuno garantisce per lui tranne il server stesso",[67,96,97],{},"Un certificato di una vera autorità",[46,99,100,104,107,110],{},[67,101,102],{},[70,103,88],{},[67,105,106],{},"L’emittente del certificato è sconosciuto",[67,108,109],{},"Il browser non riesce a collegarlo a un’autorità di cui si fida",[67,111,112],{},"La catena completa, da un’autorità riconosciuta",[46,114,115,120,123,126],{},[67,116,117],{},[70,118,119],{},"NET::ERR_CERT_DATE_INVALID",[67,121,122],{},"Il certificato è scaduto",[67,124,125],{},"La data",[67,127,128],{},[20,129,130],{"href":22},"Un certificato nuovo",[10,132,133],{},"Chrome mostra lo stesso codice per la seconda e la terza riga, ed è per questo\nche vale la pena aprire il certificato stesso.",[10,135,136],{},"Se una sola persona segnala l’avviso e nessun altro lo vede, chiedile su quale\nrete fosse. Il codice sorgente di Chrome cita una rete wifi che manda i suoi\nutenti a una pagina di accesso come una delle cause dell’errore di nome. Quello\nsi risolve appena accede alla rete.",[26,138,140],{"id":139},"come-vedo-cosa-dice-il-certificato","Come vedo cosa dice il certificato?",[10,142,143],{},"Aprilo dall’avviso e leggi due campi: a chi è stato emesso e chi l’ha emesso.",[10,145,146,147,151,152,155],{},"In Chrome, fai clic sull’indicazione di avviso a sinistra della barra degli\nindirizzi (",[148,149,150],"strong",{},"Not secure"," in un Chrome in inglese) e apri il certificato dal\npannello che compare. In Firefox, fai clic su ",[148,153,154],{},"Advanced"," nell’avviso e poi sul\nlink al certificato del sito (si chiamano così in un Firefox in inglese). I due\nbrowser chiamano gli stessi campi in modo diverso:",[157,158,159,175],"ul",{},[160,161,162,163,166,167,170,171,174],"li",{},"Il campo che dice a chi è stato emesso il certificato (",[148,164,165],{},"Issued To"," in un\nChrome in inglese, ",[148,168,169],{},"Subject Name"," in Firefox) dà il nome per cui è stato\nfatto. L’elenco completo dei nomi che copre si trova sotto ",[148,172,173],{},"Subject\nAlternative Name",", ed è quell’elenco che il browser confronta con\nl’indirizzo.",[160,176,177,178,181,182,185],{},"Il campo che dice chi l’ha emesso (",[148,179,180],{},"Issued By"," in Chrome, ",[148,183,184],{},"Issuer Name"," in\nFirefox) dà l’autorità che l’ha firmato.",[10,187,188],{},"Ognuna delle tre cause si legge in modo diverso lì:",[157,190,191,194,197],{},[160,192,193],{},"Il certificato nomina un altro indirizzo. È la causa 1.",[160,195,196],{},"Titolare ed emittente hanno lo stesso nome. Si è firmato da solo: è la causa 2.",[160,198,199],{},"Nomina il tuo indirizzo, l’emittente è un’autorità di cui hai sentito parlare,\ne il browser lo rifiuta lo stesso. È la causa 3, la catena.",[26,201,203],{"id":202},"causa-1-il-certificato-è-per-un-altro-indirizzo","Causa 1: il certificato è per un altro indirizzo",[10,205,206],{},"Il certificato è autentico e in data, ed è stato emesso per un altro nome. È la\nlicenza di un altro negozio, appesa nella tua vetrina.",[10,208,209],{},"Si presenta in tre forme:",[157,211,212,218,232],{},[160,213,214,217],{},[148,215,216],{},"Il tuo dominio punta a un hosting che non ha ancora un certificato per\nlui."," L’hosting risponde con il certificato che ha, emesso a un nome suo. La\ndocumentazione di Lovable lo dice chiaramente: finché il certificato non è\npronto, il browser mostra un avviso di sicurezza al posto del tuo sito.",[160,219,220,223,224,227,228,231],{},[148,221,222],{},"Il certificato copre una grafia del tuo indirizzo e il visitatore ha\ndigitato l’altra."," ",[70,225,226],{},"www.yourapp.com"," e ",[70,229,230],{},"yourapp.com"," sono due nomi per un\ncertificato, e ciascuno deve essere nel suo elenco.",[160,233,234,237],{},[148,235,236],{},"Una parte del tuo DNS punta ancora a un posto che hai lasciato."," Un vecchio\nhosting, o la pagina di parcheggio che il tuo registrar mostrava prima che\ncollegassi qualcosa, risponde su quel nome con un certificato suo.",[239,240],"diagram",{"alt":241,"caption":242,"src":243},"Due righe. In ognuna, una barra degli indirizzi con yourapp.com sta accanto a una scheda di certificato che elenca i nomi coperti. In alto la scheda elenca solo www.yourapp.com e la riga finisce con una croce. In basso elenca entrambi i nomi e la riga finisce con un segno di spunta.","Per un certificato, l’indirizzo con www e quello senza sono due nomi. L’indirizzo nella barra deve essere nell’elenco.","\u002Fblog\u002Fcertificate-not-trusted\u002Fone-name-missing-1600x660.png",[10,245,246],{},"Su Lovable e Vercel non compri né installi questo certificato tu. L’hosting ne\nemette uno per ogni nome che aggiungi nelle sue impostazioni del dominio, una\nvolta che il tuo DNS fa puntare quel nome verso di lui. La documentazione di\nLovable aggiunge che il suo hosting non usa affatto un certificato comprato dal\ntuo registrar. Aggiungi entrambe le grafie, fai puntare entrambe all’hosting e\naspetta che ciascuna risulti attiva.",[26,248,250],{"id":249},"causa-2-il-certificato-si-è-firmato-da-solo","Causa 2: il certificato si è firmato da solo",[10,252,253],{},"Nessuno garantisce per questo certificato tranne il server che lo presenta. È\nuna licenza che il negoziante ha stampato a casa.",[10,255,256],{},"Ogni browser ne rifiuta uno su un sito pubblico, ed è giusto così. Un commento\nnel codice sorgente di Chrome dà il motivo in una riga: un certificato\nautofirmato non offre alcuna difesa contro un attaccante che si mette tra il tuo\nvisitatore e la tua app.",[10,258,259],{},"Lo incontri su server che qualcuno ha configurato a mano: un server in affitto,\nuno strumento self-hosted, un’impostazione di prova finita in produzione con\nl’app. Un builder emette certificati veri per i domini che gli aggiungi. Un\ncertificato autofirmato su un’app ospitata da un builder significa quindi che\nqualcosa di diverso dal builder sta rispondendo sul tuo indirizzo. Controlla\ndove punta il tuo DNS prima di cambiare qualsiasi altra cosa.",[10,261,262],{},"La soluzione è un certificato di una vera autorità. Let's Encrypt li emette\ngratis, ed è l’autorità che Vercel usa quando emette il tuo.",[26,264,266],{"id":265},"causa-3-un-anello-della-catena-non-è-mai-stato-inviato","Causa 3: un anello della catena non è mai stato inviato",[10,268,269],{},"Il certificato è per il tuo indirizzo ed è stato firmato da una vera autorità,\nma il server l’ha inviato senza il certificato intermedio, quindi il browser non\nriesce a collegarlo a nessuno di cui si fidi. La licenza l’ha firmata una\nfiliale, e nella vetrina manca la lettera della sede centrale che garantisce\nper quella filiale.",[10,271,272],{},"Mozilla definisce un certificato intermedio mancante uno dei problemi di\nconfigurazione dei server più comuni. Firefox ora scarica in anticipo una copia\ndi ogni certificato intermedio attendibile, perché i suoi utenti smettano di\nincontrare l’errore.",[10,274,275],{},"È questo che rende difficile vedere questa causa: sul tuo portatile può sembrare\ntutto a posto mentre a qualcun altro fallisce. Un browser che ha una sua copia\ndell’anello mancante riempie il buco. Un software che usa solo quello che invia\nil tuo server non ha niente con cui riempirlo. Il nostro scanner è un software di\nquesto tipo, ed è per questo che può segnalare un certificato come non\nattendibile mentre il tuo browser mostra un lucchetto.",[239,277],{"alt":278,"caption":279,"src":280},"Un server invia un certificato a due visitatori. Tra il certificato e l’autorità attendibile dovrebbe esserci un secondo certificato, e il server non l’ha inviato. Il primo visitatore ha una copia del certificato mancante e riceve un segno di spunta. Il secondo non ha niente e riceve una croce.","La stessa catena incompleta, inviata a due visitatori. Solo chi aveva già l’anello mancante può completarla.","\u002Fblog\u002Fcertificate-not-trusted\u002Fthe-missing-link-1600x700.png",[10,282,283,284,287,288,291,292,298],{},"Su un builder la catena è gestita per te. Manca sui server configurati a mano, e\nlì la soluzione è servire il certificato seguito dal certificato intermedio, in\nun solo file. Se usi certbot di Let's Encrypt, quel file è ",[70,285,286],{},"fullchain.pem",", e\nl’errore è far puntare il server a ",[70,289,290],{},"cert.pem"," al suo posto. Per controllare\ndall’esterno, ",[20,293,297],{"href":294,"rel":295},"https:\u002F\u002Fwww.ssllabs.com\u002Fssltest\u002F",[296],"nofollow","il test gratuito dei server di SSL Labs","\nsegnala un certificato intermedio mancante come un problema della catena.",[26,300,302],{"id":301},"il-caso-del-dominio-personalizzato-in-ordine","Il caso del dominio personalizzato, in ordine",[10,304,305],{},"Quando colleghi il tuo dominio a un builder, i visitatori vedono questo avviso\nfinché l’hosting non ha un certificato per il tuo nome, e l’avviso dice il vero.\nFinisce da solo appena il certificato viene emesso.",[10,307,308],{},"L’ordine, su Lovable:",[310,311,312,320,323,326],"ol",{},[160,313,314,315,227,317,319],{},"Aggiungi il dominio in Lovable. Configura ",[70,316,230],{},[70,318,226],{}," e\nli elenca separatamente.",[160,321,322],{},"Cambia i record DNS presso il tuo registrar con i valori che ti dà Lovable.\nSecondo Lovable, la maggior parte delle modifiche è attiva in poche ore, e la\npropagazione può richiedere fino a 72 ore.",[160,324,325],{},"Lovable verifica il dominio ed emette il certificato. Vercel funziona allo\nstesso modo: dimostra a Let's Encrypt che il nome è tuo, in automatico,\npurché il dominio punti a Vercel.",[160,327,328,329,332],{},"Apri il sito quando il dominio risulta ",[148,330,331],{},"Live",", come consiglia Lovable\nstessa.",[239,334],{"alt":335,"caption":336,"src":337},"Una linea del tempo. Una figura fa puntare un nome verso un hosting, e da lì un tratto ambra con un segnale di avviso arriva fino a un sigillo che segna l’emissione del certificato. Poi la linea passa al colore d’accento, con un lucchetto. Un segno più avanti porta il numero 72.","Tra il momento in cui il dominio punta all’hosting e l’arrivo del certificato, l’avviso è corretto. Lovable ti chiede di contattare il supporto se c’è ancora dopo 72 ore.","\u002Fblog\u002Fcertificate-not-trusted\u002Fthe-wait-is-the-warning-1600x560.png",[10,339,340],{},"Se l’avviso c’è ancora dopo 72 ore, Lovable ti chiede di contattare il suo\nsupporto. Due impostazioni vale la pena controllarle prima di scrivere:",[157,342,343,353],{},[160,344,345,348,349,352],{},[148,346,347],{},"Cerca un record CAA."," È una voce DNS che indica quali autorità possono\nemettere certificati per il tuo dominio. Una che esclude l’autorità del tuo\nhosting blocca il certificato, e un sottodominio eredita i record CAA del\ndominio padre quando non ne ha di suoi.\n",[20,350,351],{"href":22},"L’articolo sulla scadenza"," incontra lo\nstesso record come motivo per cui un rinnovo fallisce. Qui impedisce che il\nprimo certificato venga mai emesso.",[160,354,355,358],{},[148,356,357],{},"Cerca un proxy davanti."," Se il tuo DNS è su Cloudflare con la nuvola\narancione attiva sui record che ti ha dato l’hosting, risponde Cloudflare al\nposto del tuo hosting. Lovable dice che allora non può verificare il dominio\nné emettere certificati per lui, e sia Lovable sia Vercel dicono di impostare\nquei record su DNS only.",[26,360,362],{"id":361},"cosa-abbiamo-trovato-su-30879-app","Cosa abbiamo trovato su 30.879 app",[10,364,365],{},"Otto avevano un certificato di cui nessun browser si sarebbe fidato, e ognuna\nera su un dominio che il proprietario aveva collegato.",[10,367,368],{},"Ad agosto 2026 la nostra scansione ha letto il certificato di 30.879 app online:\n29.927 sul sottodominio di un builder e 952 su un dominio proprio. Tutti e otto\ni certificati non attendibili erano tra le 952, poco meno di uno su cento.\nNessuna delle app sul sottodominio di un builder ne aveva uno, il che torna con\ntutto quanto sopra. Sull’indirizzo del builder, nome e certificato sono del\nbuilder.",[10,370,371,372,375],{},"Il nostro rilievo registra che il certificato è fallito, ma non quale delle tre\ncause fosse, quindi non possiamo dirti come si dividono gli otto. I certificati\nscaduti o in scadenza della stessa scansione sono contati\nnell’",[20,373,374],{"href":22},"articolo sulla scadenza",".",[10,377,378,379,383],{},"Per controllare la tua app, ",[20,380,382],{"href":381},"\u002Fsecurity-scanner","la nostra scansione gratuita","\nlegge dall’esterno il certificato che invia il tuo server e nomina questo\nrilievo quando lo vede. Ci mette circa 20 secondi e non serve un account.",[26,385,387],{"id":386},"accorgertene-la-prossima-volta-che-cambia-qualcosa","Accorgertene la prossima volta che cambia qualcosa",[10,389,390],{},"Un certificato passa da attendibile a rifiutato quando cambia qualcosa intorno a\nlui: un dominio nuovo, un trasloco del DNS, un proxy attivato. Il controllo che\nconta è quello che gira dopo il cambiamento.",[10,392,393,398],{},[148,394,395],{},[20,396,397],{"href":381},"Scansiona la tua app gratis"," per vedere cosa riceve oggi\nil browser di un visitatore.",[157,400,401,404,407],{},[160,402,403],{},"Legge dall’esterno il certificato che invia il tuo server, insieme ad altri\notto controlli.",[160,405,406],{},"Nomina il rilievo quando il certificato non è attendibile, e quando è scaduto\no sta per scadere.",[160,408,409],{},"Circa 20 secondi, e nessun account.",[10,411,412,418],{},[148,413,414],{},[20,415,417],{"href":416},"\u002Fwebsite-monitoring","Reeve Monitor"," per saperlo poco dopo il cambiamento.",[157,420,421,424,427],{},[160,422,423],{},"Controlla la tua app ogni 60 secondi, e un certificato di cui non può fidarsi\nconta come un’interruzione della tua app. Vieni avvisato quindi come per\nqualsiasi altra interruzione.",[160,425,426],{},"Ripete tutti e nove i controlli ogni ora e ti manda un’email quando il tuo voto\nscende.",[160,428,429],{},"Copre fino a tre app.",[26,431,433],{"id":432},"cosa-fare-adesso","Cosa fare adesso",[435,436,437],"key-takeaways",{},[157,438,439,442,445,453,456],{},[160,440,441],{},"Leggi il codice sotto l’avviso prima di rinnovare qualsiasi cosa. Un errore di data richiede un certificato nuovo. Un errore di nome o di autorità richiede altro.",[160,443,444],{},"Apri il certificato e confronta il nome per cui è stato emesso con l’indirizzo nella barra, e con il nome di chi l’ha emesso.",[160,446,447,448,227,450,452],{},"Su un builder, aggiungi ",[70,449,230],{},[70,451,226],{}," nelle impostazioni del dominio e fai puntare entrambi verso di lui.",[160,454,455],{},"Se un dominio nuovo mostra ancora l’avviso dopo 72 ore, cerca un record CAA o un proxy davanti all’hosting prima di contattare il supporto.",[160,457,458],{},"Su un server che gestisci tu, servi la catena completa e controllala dall’esterno con SSL Labs.",[10,460,461,462,466],{},"Quando l’avviso è sparito e l’app continua a non caricarsi, la domanda\nsuccessiva è se il problema sia la tua app o la piattaforma sotto, e\n",[20,463,465],{"href":464},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase è giù o è la tua app?"," spiega\ncome distinguerlo.",{"title":468,"searchDepth":469,"depth":469,"links":470},"",3,[471,473,474,475,476,477,478,479,480],{"id":28,"depth":472,"text":29},2,{"id":139,"depth":472,"text":140},{"id":202,"depth":472,"text":203},{"id":249,"depth":472,"text":250},{"id":265,"depth":472,"text":266},{"id":301,"depth":472,"text":302},{"id":361,"depth":472,"text":362},{"id":386,"depth":472,"text":387},{"id":432,"depth":472,"text":433},"Basi della sicurezza","\u002Fblog\u002Fcertificate-not-trusted\u002Fcover-1200x630.png","Scheda di certificato con sigillo e data in accento, sotto una barra degli indirizzi con un nome più lungo di quello sulla scheda.","Certificato non attendibile anche se la data è giusta? Nomina un altro indirizzo, si è firmato da solo o alla sua catena manca un anello. Come capirlo.",false,"md",[488,491,494,497,500],{"q":489,"a":490},"Perché il mio sito dice che la connessione non è privata se il certificato non è scaduto?","Perché la data è solo una delle tre cose che un browser controlla, e le altre due falliscono per conto loro. Il certificato deve anche nominare esattamente l’indirizzo digitato dal visitatore, ed essere firmato da un’autorità di cui il browser si fida, con ogni certificato intermedio inviato insieme a lui. Un certificato che fallisce uno dei due controlli riceve lo stesso avviso a tutta pagina di uno scaduto, e rinnovarlo non cambia nulla.",{"q":492,"a":493},"Che cos’è un errore di nome del certificato?","Un certificato emesso per un indirizzo e presentato su un altro. Chrome lo segnala come NET::ERR_CERT_COMMON_NAME_INVALID e Firefox dice che il certificato non è valido per il tuo indirizzo. Il certificato in sé di solito è autentico e in data. Appartiene semplicemente a un altro nome, spesso quello del tuo hosting, ed è quello che un hosting presenta sul tuo dominio prima di averne emesso uno per te.",{"q":495,"a":496},"Perché con www funziona e il dominio senza www no?","Perché per un certificato sono due nomi diversi. O il certificato ne elenca solo uno, o il DNS dell’altro punta ancora altrove, per esempio alla pagina di parcheggio del tuo registrar o a un vecchio hosting, che risponde con un certificato suo. Lovable collega entrambi e li elenca separatamente, quindi controlla che ciascuno risulti attivo.",{"q":498,"a":499},"Quanto ci mette il certificato di un dominio personalizzato?","Secondo Lovable, la configurazione di un dominio di solito si completa in pochi minuti ma può richiedere diverse ore, le modifiche DNS possono impiegare fino a 72 ore per propagarsi, e va contattato il suo supporto se il certificato non è stato emesso dopo 72 ore. Finché non viene emesso, i visitatori vedono un avviso di sicurezza al posto del tuo sito.",{"q":501,"a":502},"Un certificato autofirmato va mai bene?","Sul tuo computer, per sviluppare, sì. Su un sito che il pubblico visita, no. Il browser di ogni visitatore lo rifiuta, e un commento nel codice sorgente di Chrome nota che un certificato autofirmato non offre alcuna difesa contro un attaccante che si mette tra il visitatore e il sito.","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",[505,506,507,508,509,510,511],"certificato non attendibile","certificato ssl non attendibile browser","la connessione non è privata dominio personalizzato","nome del certificato non corrisponde","certificato autofirmato avviso sito","net::err_cert_common_name_invalid","net::err_cert_authority_invalid",{},true,"\u002Fblog\u002Fcertificate-not-trusted","2026-10-26",{"title":5,"description":484},"blog\u002Fcertificate-not-trusted",[519,520,521],"Un certificato non attendibile per i browser può essere perfettamente in data. Viene rifiutato perché nomina un altro indirizzo, perché si è firmato da solo, o perché è arrivato senza il certificato che garantisce per lui.","La schermata di avviso è la stessa di un certificato scaduto, e rinnovarlo non risolve nessuna delle tre cause. Il codice mostrato sotto l’avviso ti dice quale hai.","Su Lovable e Vercel, un dominio personalizzato mostra questo avviso finché il suo certificato non viene emesso. Quell’attesa è normale. Un avviso che dura di più significa che qualcosa sta bloccando il certificato.","5QTki8IqjHupQnDeD5F-EW77GA1Aco9JvlAmyByi9lE",[524,530,536,542,548,554,560,566,572,578,584,591,597,603,609,610,616,622,628,634,640,646,652,658,664,670,676,682,688,694,700,706,712,718,724,730,736,742,748,754,759,765,771,777,783,789,794,800,806,812,817,823,829,835,841,847,853,859,865,871,877,883,889,895,901,907,913,919,925,931,937,943,949,955,961,967,973,979,985,991,997,1003,1009,1015,1020,1026,1032,1038,1043,1049],{"path":525,"title":526,"description":527,"published":528,"category":481,"image":529,"draft":485},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\", spiegato","Supabase \"max client connections reached\": il pooler non ha posto per un altro client. La porta nella tua stringa di connessione decide il limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":531,"title":532,"description":533,"published":534,"category":481,"image":535,"draft":485},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Errore Supabase: \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\": Google è disattivato nel tuo progetto Supabase. Come attivarlo e risolvere redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":537,"title":538,"description":539,"published":540,"category":481,"image":541,"draft":485},"\u002Fblog\u002Fviolates-foreign-key-constraint","Errore Supabase \"violates foreign key constraint\" all'inserimento","Supabase \"insert or update on table violates foreign key constraint\": la tua riga punta a una riga che non c'è. Quale, perché, e la soluzione.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":543,"title":544,"description":545,"published":546,"category":481,"image":547,"draft":485},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Errore Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\": una colonna obbligatoria è arrivata vuota. Da dove viene il null, e la soluzione.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":549,"title":550,"description":551,"published":552,"category":481,"image":553,"draft":485},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\": dove è finita la sessione","\"Auth session missing!\" è supabase-js che non trova nessuna sessione e non arriva nemmeno a chiedere a Supabase. Dove è finita la sessione, e la correzione.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":555,"title":556,"description":557,"published":558,"category":481,"image":559,"draft":485},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\": nessun utente connesso","\"invalid claim: missing sub claim\": Supabase Auth ha ricevuto un token autentico senza alcun utente, la chiave del progetto al posto di una sessione.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":561,"title":562,"description":563,"published":564,"category":481,"image":565,"draft":485},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\": la causa vera","\"Failed to send a request to the Edge Function\": il browser non ha ricevuto una risposta leggibile. La sua console dice perché e se la tua funzione è partita.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":567,"title":568,"description":569,"published":570,"category":481,"image":571,"draft":485},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Perché i link email di Supabase reindirizzano a localhost:3000","Se Supabase reindirizza a localhost:3000, la Site URL non è mai stata cambiata o il tuo indirizzo manca in Redirect URLs. La soluzione, e il jolly da evitare.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":573,"title":574,"description":575,"published":576,"category":481,"image":577,"draft":485},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" su un link nuovo","Su un link inviato un minuto fa, \"Email link is invalid or has expired\" di Supabase di solito vuol dire che un filtro della posta l'ha usato prima.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":579,"title":580,"description":581,"published":582,"category":481,"image":583,"draft":485},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\", spiegato","Supabase \"canceling statement due to statement timeout\": una query ha superato il limite del suo ruolo, 3 secondi per un visitatore. Guarda la policy RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":585,"title":586,"description":587,"published":588,"category":589,"image":590,"draft":485},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" su Supabase, e cosa porta con sé","\"Database error deleting user\" su Supabase: il tuo database ha rifiutato la cancellazione. La causa è nei log, e la soluzione decide cos'altro sparisce.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":592,"title":593,"description":594,"published":595,"category":481,"image":596,"draft":485},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" su Supabase","Un webhook Stripe in una Edge Function di Supabase dice \"No signatures found matching the expected signature\"? Due cause. Non smettere di verificare.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":598,"title":599,"description":600,"published":601,"category":481,"image":602,"draft":485},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" in Supabase: le tre cause","Supabase dice \"Invalid login credentials\" per una password sbagliata, un'email sconosciuta e un account Google. Come capire quale.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":604,"title":605,"description":606,"published":607,"category":481,"image":608,"draft":485},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\": l'errore vero","\"Edge Function returned a non-2xx status code\" vuol dire che la tua funzione Supabase ha risposto con un errore. Ecco dove leggere quello vero.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":514,"title":5,"description":484,"published":515,"category":481,"image":503,"draft":485},{"path":611,"title":612,"description":613,"published":614,"category":481,"image":615,"draft":485},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\": leggi le virgolette","Supabase \"invalid input syntax for type uuid\": la tua app ha inviato qualcosa che non è un id. Leggi le virgolette, ferma la query, tieni la colonna.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":617,"title":618,"description":619,"published":620,"category":481,"image":621,"draft":485},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\", spiegato","Supabase \"duplicate key value violates unique constraint\": il valore è già preso. Trova la colonna, scegli una correzione, tieni il valore fuori schermo.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":623,"title":624,"description":625,"published":626,"category":481,"image":627,"draft":485},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" quando la tabella c'è","Supabase \"relation does not exist\" o PGRST205: nessuna tabella ha quel nome in quello schema. Quattro controlli, e che cosa apre esporre uno schema.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":629,"title":630,"description":631,"published":632,"category":481,"image":633,"draft":485},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" riporta i nomi degli argomenti inviati dalla tua app. Confrontali con la funzione.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":635,"title":636,"description":637,"published":638,"category":481,"image":639,"draft":485},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" di solito è un nome che non torna. Quattro controlli in ordine e la riga che ricarica.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":641,"title":642,"description":643,"published":644,"category":481,"image":645,"draft":485},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\": due limiti, un solo codice","Supabase \"Email Rate Limit Exceeded\" limita ogni email del tuo progetto: 2 all'ora con il mittente integrato. Cosa conta e come alzarlo.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":647,"title":648,"description":649,"published":650,"category":481,"image":651,"draft":485},"\u002Fblog\u002Fsupabase-users-logged-out","Supabase \"Invalid Refresh Token: Refresh Token Not Found\": 3 cause","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" disconnette i tuoi utenti. Tre cause, e come il log di Auth le distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":653,"title":654,"description":655,"published":656,"category":481,"image":657,"draft":485},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\": tre cause","Supabase \"permission denied for schema public\" indica un grant mancante sullo schema. Cosa lo ha tolto, e la riga che lo rimette.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":659,"title":660,"description":661,"published":662,"category":481,"image":663,"draft":485},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\": le tre cose che può voler dire","Supabase \"Bucket not found\" è una di tre cose: un link pubblico a un bucket privato, un nome non esattamente uguale o il progetto sbagliato.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":665,"title":666,"description":667,"published":668,"category":481,"image":669,"draft":485},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT: quale chiave ha smesso di funzionare?","Un errore Supabase invalid JWT è PGRST301: un token firmato non ha superato la verifica. Su un progetto recente riguarda la sessione, non la chiave API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":671,"title":672,"description":673,"published":674,"category":481,"image":675,"draft":485},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" quasi sempre è nessuna","Supabase restituisce PGRST116, \"JSON object requested, multiple (or no) rows returned\", quando la query non ha trovato nulla. Una riga nascosta sembra assente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":677,"title":678,"description":679,"published":680,"category":481,"image":681,"draft":485},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" su Supabase: dove guardare","\"Database error saving new user\" vuol dire che qualcosa attaccato alla registrazione Supabase è fallito. L'errore vero sta nei tuoi log.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":683,"title":684,"description":685,"published":686,"category":481,"image":687,"draft":485},"\u002Fblog\u002Fwhat-is-supabase","Cos'è Supabase? Il database che ha scelto il tuo builder","Cos'è Supabase: il database, il login e l'archivio file dietro la tua app. Supabase manda avanti i server; le regole su chi legge le tue righe sono tue.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":689,"title":690,"description":691,"published":692,"category":481,"image":693,"draft":485},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Una chiave AWS esposta nel frontend non è come una chiave OpenAI","Una chiave di accesso AWS esposta nel tuo frontend legge e scrive il tuo storage. La soluzione di solito è una presigned URL, non una chiave nuova.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":695,"title":696,"description":697,"published":698,"category":481,"image":699,"draft":485},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" in upload","\"New row violates row-level security policy for table objects\" vuol dire che al tuo upload manca una regola insert. Rendere pubblico il bucket non ne aggiunge.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":701,"title":702,"description":703,"published":704,"category":481,"image":705,"draft":485},"\u002Fblog\u002Fbase44-security-scan","Scansione di sicurezza Base44: ciò che vede solo lei","La scansione di sicurezza Base44 controlla sette tipi di problema dall’interno. Ecco la metà che legge e che nessun altro legge, e quella che non guarda mai.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":707,"title":708,"description":709,"published":710,"category":481,"image":711,"draft":485},"\u002Fblog\u002Fapi-key-leaked-what-to-do","La tua chiave API è trapelata. L'ordine in cui muoverti","Una chiave API è trapelata e non sai da cosa cominciare. Non tutte le chiavi nel frontend lo sono, e l'ordine conta più della velocità.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":713,"title":714,"description":715,"published":716,"category":481,"image":717,"draft":485},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" senza disattivare RLS","\"Infinite recursion detected in policy for relation\" significa che la tua policy ha interrogato la tabella che protegge. Ecco come rompere il cerchio.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":719,"title":720,"description":721,"published":722,"category":481,"image":723,"draft":485},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" su Supabase, e la correzione sbagliata","\"No API key found in request\" significa che la tua richiesta è arrivata a Supabase senza chiave. Quasi tutte le risposte indicano le regole del database.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":725,"title":726,"description":727,"published":728,"category":481,"image":729,"draft":485},"\u002Fblog\u002Fis-base44-safe","Base44 è sicuro? Cosa abbiamo trovato in 5.442 app","Base44 è sicuro? Abbiamo passato nove controlli su 5.442 app Base44 online. Quasi tutte hanno preso B, per motivi che il proprietario non ha mai scelto.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":731,"title":732,"description":733,"published":734,"category":481,"image":735,"draft":485},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","Nascondere una chiave API: spostala in una Edge Function Supabase","Nascondere una chiave API vuol dire toglierla dal browser, e una Edge Function Supabase è il posto più piccolo dove metterla. Due passaggi contano di più.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":737,"title":738,"description":739,"published":740,"category":481,"image":741,"draft":485},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Il tuo file .env è esposto? I dodici percorsi da provare","Il tuo file .env è esposto sul tuo server web? Dodici indirizzi te lo dicono, e una risposta significa che tutto quello che contiene è già pubblico.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":743,"title":744,"description":745,"published":746,"category":481,"image":747,"draft":485},"\u002Fblog\u002Fis-v0-safe","Sicurezza di v0: tutte le 1.790 app v0 analizzate hanno preso A","La sicurezza di v0 misurata su 1.790 app v0 online: tutte hanno preso A. Solo 17 nominavano un database, ed è soprattutto questo che misura quella A.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":749,"title":750,"description":751,"published":752,"category":481,"image":753,"draft":485},"\u002Fblog\u002Fis-bolt-safe","Bolt è sicuro? Cosa abbiamo trovato in 1.123 app Bolt","Bolt è sicuro? Abbiamo passato 1.123 app Bolt online per nove controlli. L’hosting era pulito. I rilievi erano chiavi e tabelle aperte dentro le app.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":464,"title":755,"description":756,"published":757,"category":481,"image":758,"draft":485},"Supabase è down o è la tua app? Come capirlo","Supabase è down o è la tua app? Un progetto in pausa, un database pieno e un tuo errore sembrano la stessa cosa. Quattro controlli li separano.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":760,"title":761,"description":762,"published":763,"category":481,"image":764,"draft":485},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase crittografa i miei dati? Sì. Ecco da cosa protegge","Supabase crittografa i dati? Sì: AES-256 a riposo, TLS in transito, SOC 2 e ISO 27001. Cosa copre ciascuno, e la fuga di dati che nessuno di questi ferma.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":766,"title":767,"description":768,"published":769,"category":481,"image":770,"draft":485},"\u002Fblog\u002Fsupabase-free-plan-limits","Supabase: prezzi e limiti del piano gratuito, uno per uno","Prezzi e limiti del piano gratuito di Supabase: 500 MB di database, 5 GB di egress e nessun backup. Cosa succede a ogni soglia e cosa cambia Pro a $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":772,"title":773,"description":774,"published":775,"category":589,"image":776,"draft":485},"\u002Fblog\u002Ftest-your-supabase-backup","Testa il tuo backup di Supabase prima del giorno in cui serve","Come testare il tuo backup di Supabase: ripristinarlo in un progetto di prova, contare le righe, accedere e cercare la riga che manca a un file troncato.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":778,"title":779,"description":780,"published":781,"category":589,"image":782,"draft":485},"\u002Fblog\u002Fsupabase-backup-github-action","Backup gratis di Supabase con una GitHub Action, e il tranello","Un backup di Supabase con una GitHub Action è gratis e va bene per molte app. Il workflow, la connection string giusta e l'egress di ogni esecuzione.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":784,"title":785,"description":786,"published":787,"category":589,"image":788,"draft":485},"\u002Fblog\u002Fdownload-your-supabase-backup","Perché non puoi scaricare il tuo backup di Supabase","Non puoi scaricare il tuo backup di Supabase su un progetto recente, perché la copia giornaliera è uno snapshot fisico. Come verificarlo e tenere una copia tua.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":790,"title":791,"description":792,"published":787,"category":481,"image":793,"draft":485},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\": il grant mancante","Dal 30 ottobre una nuova tabella di Supabase risponde \"permission denied for table\" finché non concedi l'accesso. Il grant della mail è metà della soluzione.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":795,"title":796,"description":797,"published":798,"category":481,"image":799,"draft":485},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint API aperto è un problema di sicurezza? Leggi il JSON","La tua scansione ha segnalato un endpoint API aperto. Quanto conti dipende da che cosa è tornato, e la maggior parte di quelli trovati era della piattaforma.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":801,"title":802,"description":803,"published":804,"category":481,"image":805,"draft":485},"\u002Fblog\u002Flovable-security-scan","Scansione di sicurezza Lovable: cosa non può dimostrare","Scansione di sicurezza Lovable: cosa controllano Quick scan e Deep scan, quando parte ciascuno, e l’unica cosa che nessuna scansione dall’interno dimostra.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":807,"title":808,"description":809,"published":810,"category":589,"image":811,"draft":485},"\u002Fblog\u002Fsupabase-backup-auth-users","Perché nel tuo dump Supabase non ci sono utenti","Lancia supabase db dump da solo e ottieni la forma del tuo database e nessuna delle sue righe, senza lo schema auth in cui vivono i tuoi utenti.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":22,"title":813,"description":814,"published":815,"category":481,"image":816,"draft":485},"Dominio scaduto, sito offline: cosa succede adesso","Il tuo dominio è scaduto e il sito è offline. Il conto alla rovescia che parte, perché il certificato è il problema minore, e come controllarli entrambi.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":818,"title":819,"description":820,"published":821,"category":481,"image":822,"draft":485},"\u002Fblog\u002Fis-lovable-safe","Lovable è sicuro? Cosa abbiamo trovato in 18.554 app Lovable","Lovable è sicuro? Abbiamo passato 18.554 app Lovable online per nove controlli. La piattaforma è risultata la più pulita di cinque. I rilievi stavano nelle app.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":824,"title":825,"description":826,"published":827,"category":481,"image":828,"draft":485},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist di sicurezza del vibe coding, in nove controlli","Una checklist di sicurezza del vibe coding in nove voci, ognuna verificabile dall’esterno sulla tua app dal vivo, e ognuna con un test di una riga.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":830,"title":831,"description":832,"published":833,"category":481,"image":834,"draft":485},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Una chiave segreta Stripe nel frontend può muovere denaro","Una chiave segreta Stripe esposta nel tuo frontend può rimborsare, addebitare e leggere ogni scheda cliente che hai. La tua chiave pk_live_ ci sta bene.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":836,"title":837,"description":838,"published":839,"category":481,"image":840,"draft":485},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica","Variabili d’ambiente Vite esposte: la tua app ha fatto ciò che il prefisso chiedeva. VITE_ e NEXT_PUBLIC_ vogliono dire pubblica, e l’IA non sapeva il costo.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":842,"title":843,"description":844,"published":845,"category":481,"image":846,"draft":485},"\u002Fblog\u002Fbase44-source-maps","Sicurezza Base44: cosa segnala uno scan e cosa tocca a te sistemare","Sicurezza Base44 su 5.438 app scansionate: tre segnalazioni su quasi tutte sono della piattaforma, la source map è il badge di Base44, la tua parte è corta.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":848,"title":849,"description":850,"published":851,"category":481,"image":852,"draft":485},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI è sicuro? L’editor, il codice e l’app che hai pubblicato","Cursor AI è sicuro? Tre domande in una ricerca: cosa tiene Cursor, cosa sbaglia il codice che scrive, e se l’app che hai pubblicato è aperta.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":854,"title":855,"description":856,"published":857,"category":481,"image":858,"draft":485},"\u002Fblog\u002Fis-replit-safe","Replit è sicuro? Cosa abbiamo trovato in 3.042 app Replit online","Replit è sicuro? Abbiamo passato 3.042 app Replit online per nove controlli esterni. I rilievi stavano nell’app pubblicata, non nell’host.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":860,"title":861,"description":862,"published":863,"category":589,"image":864,"draft":485},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup: la copia del database non ha nessun file","Un Supabase storage backup è un lavoro a parte. I backup del database tengono la lista dei tuoi file e nessuno dei file, quindi ogni upload resta rotto.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":866,"title":867,"description":868,"published":869,"category":589,"image":870,"draft":485},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery di Supabase: prezzo e limiti","Il point-in-time recovery di Supabase riavvolge il database a qualsiasi secondo della settimana scorsa. $100 al mese oltre a Pro, e copre solo il database.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":872,"title":873,"description":874,"published":875,"category":589,"image":876,"draft":485},"\u002Fblog\u002Fsupabase-project-paused-recover","Progetto Supabase in pausa? I tuoi dati sono ancora lì","Supabase ha messo in pausa il tuo progetto dopo una settimana senza attività. Non è cancellato niente, Ripristina è accanto al nome e hai un anno di tempo.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":878,"title":879,"description":880,"published":881,"category":481,"image":882,"draft":485},"\u002Fblog\u002Fsafest-ai-app-builder","Qual è il builder di app con IA più sicuro? 30.998 app testate","Qual è il builder di app con IA più sicuro? Abbiamo scansionato 30.998 app online di Lovable, Base44, Replit, v0 e Bolt. Non è il builder a decidere il voto.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":884,"title":885,"description":886,"published":887,"category":481,"image":888,"draft":485},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Attiva Row Level Security su ogni tabella Supabase, poi verificalo","Attivare Row Level Security su Supabase senza una policy chiude del tutto la tabella. Una policy senza il flag non fa nulla. Ecco lo SQL, e la verifica.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":890,"title":891,"description":892,"published":893,"category":481,"image":894,"draft":485},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\": cosa non vede l'avviso","Supabase segnala \"RLS disabled in public\" come errore. Non dice nulla della policy di lettura che lascia la tua tabella altrettanto aperta.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":896,"title":897,"description":898,"published":899,"category":481,"image":900,"draft":485},"\u002Fblog\u002Frotate-supabase-service-role-key","Come ruotare una chiave service_role Supabase trapelata","Supabase dice di chiudere prima la falla. Altre guide dicono di ruotare subito. Quale sia giusto dipende da dove è finita la tua chiave service_role.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":902,"title":903,"description":904,"published":905,"category":481,"image":906,"draft":485},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanner di sicurezza per vibe coding a confronto, il nostro incluso","Il miglior scanner di sicurezza per vibe coding dipende da tre domande che nessun elenco di funzioni affronta. Otto strumenti a confronto, con i prezzi.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":908,"title":909,"description":910,"published":911,"category":481,"image":912,"draft":485},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker: i cinque controlli da fare da soli","Un Supabase security checker legge la tua app pubblicata invece delle impostazioni del progetto. Ecco i cinque controlli che esegue e come farli da solo.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":914,"title":915,"description":916,"published":917,"category":481,"image":918,"draft":485},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner di sicurezza per vibe coding: cosa si perde","Uno scanner di sicurezza per vibe coding legge la tua app dal vivo, da fuori. Cosa copre, le quattro cose che non può vedere e come leggere il risultato.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":920,"title":921,"description":922,"published":923,"category":481,"image":924,"draft":485},"\u002Fblog\u002Fmissing-security-headers","Intestazioni di sicurezza mancanti: quando contano","Le intestazioni di sicurezza mancanti sono il rilievo che il nostro scanner stampa più spesso. Da cosa proteggono e quando sono la riga meno urgente.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":926,"title":927,"description":928,"published":929,"category":481,"image":930,"draft":485},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","La tua chiave API OpenAI è esposta nel frontend. Ruotala.","Una chiave API OpenAI esposta nel frontend non si può legare a nessun dominio. Ruotala oggi, sposta la chiamata sul tuo server e metti un tetto di spesa.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":932,"title":933,"description":934,"published":935,"category":481,"image":936,"draft":485},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Chiave API esposta nel frontend: cosa spediscono 30.998 app","Una chiave API esposta nel tuo frontend è quasi sempre una chiave di Google Maps. Abbiamo scansionato 30.998 app vibe-coded e contato cosa esce davvero.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":938,"title":939,"description":940,"published":941,"category":589,"image":942,"draft":485},"\u002Fblog\u002Fsupabase-backup-tools-compared","Strumenti di backup Supabase a confronto, il nostro incluso","Quattro tipi di strumento di backup Supabase, cosa copia davvero ognuno, e il caso in cui una GitHub Action gratuita batte il pagare chiunque, noi inclusi.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":944,"title":945,"description":946,"published":947,"category":481,"image":948,"draft":485},"\u002Fblog\u002Freplit-secrets-explained","Come usare i secret su Replit, e cosa viene comunque pubblicato","Come usare i secret su Replit: aggiungerne uno, rileggerlo e risolvere le due cause dell'undefined. E le chiavi che lo strumento non riesce a proteggere.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":950,"title":951,"description":952,"published":953,"category":589,"image":954,"draft":485},"\u002Fblog\u002Fback-up-supabase-free-tier","Backup del piano gratuito Supabase: farne uno senza terminale","Sul piano gratuito Supabase non esistono backup: la copia la fai tu. Come farne uno dalla dashboard e che cosa si lascia dietro la via del CSV.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":956,"title":957,"description":958,"published":959,"category":481,"image":960,"draft":485},"\u002Fblog\u002Fis-supabase-secure","Supabase è sicuro? Sì. Il tuo progetto è un'altra questione","Supabase è sicuro? La piattaforma è certificata, cifrata e sottoposta a pentest. La loro documentazione dice dove finisce quello e iniziano le tue impostazioni.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":962,"title":963,"description":964,"published":965,"category":481,"image":966,"draft":485},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Dove trovare le chiavi API di Supabase: anon, service_role e URL","L'URL del progetto, la chiave anon e la chiave service_role stanno su una pagina della dashboard. Ecco dove si trova e quale dei quattro va nella tua app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":968,"title":969,"description":970,"published":971,"category":481,"image":972,"draft":485},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy su Supabase. E adesso?","\"New row violates row-level security policy\" significa che Supabase ha rifiutato una scrittura. La soluzione veloce riapre la tabella a chiunque.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":974,"title":975,"description":976,"published":977,"category":481,"image":978,"draft":485},"\u002Fblog\u002Fcors-wildcard-security-risk","Un wildcard CORS è un rischio di sicurezza? Quasi mai.","Un wildcard CORS è un rischio di sicurezza? Di solito è il valore predefinito del tuo builder e non consegna nulla che il tuo server non desse già a chiunque.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":980,"title":981,"description":982,"published":983,"category":589,"image":984,"draft":485},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Il branching di Supabase non è un backup. Va solo in avanti.","Perché il branching di Supabase non è un backup: un branch parte senza i tuoi dati e un merge sposta solo lo schema. A cosa serve davvero e cosa usare invece.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":986,"title":987,"description":988,"published":989,"category":589,"image":990,"draft":485},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Come ripristinare un backup Supabase, e cosa si rompe dopo","Come ripristinare un backup Supabase dalla dashboard o da un file di dump, che cosa sostituisce il ripristino e perché la tua app può restare rotta lo stesso.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":992,"title":993,"description":994,"published":995,"category":481,"image":996,"draft":485},"\u002Fblog\u002Fsupabase-storage-bucket-public","Il tuo bucket Supabase Storage è pubblico. È un problema?","Un bucket Supabase Storage pubblico significa che chi ha l'URL di un file può aprirlo. Non significa che qualcuno possa elencare quello che c'è dentro.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":998,"title":999,"description":1000,"published":1001,"category":481,"image":1002,"draft":485},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Una chiave API Google nel frontend è un problema?","Una chiave API Google esposta nel frontend è la chiave che il nostro scanner trova più spesso, e di solito va bene così. Lo decide una impostazione gratuita.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1004,"title":1005,"description":1006,"published":1007,"category":589,"image":1008,"draft":485},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agente IA ha cancellato i miei dati Supabase. Cosa recupero?","Un agente IA ha cancellato dati dal tuo database. Quello che puoi recuperare era già deciso prima che partisse, e i prossimi minuti decidono il resto.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1010,"title":1011,"description":1012,"published":1013,"category":481,"image":1014,"draft":485},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Chiunque può leggere il tuo database Supabase? 3.680 app testate","Chiunque può leggere il tuo database Supabase senza fare login? Abbiamo scansionato 30.998 app online create con i builder IA e misurato quante rispondono sì.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1016,"title":1017,"description":1018,"published":1013,"category":481,"image":1019,"draft":485},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source map esposte: la tua app sta pubblicando il codice originale","Una source map esposta permette a chiunque di leggere il codice originale della tua app, commenti inclusi. Il controllo da 30 secondi e cosa conta davvero.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1021,"title":1022,"description":1023,"published":1024,"category":481,"image":1025,"draft":485},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key: è la stessa della anon key?","Supabase ha sostituito anon e service_role con chiavi pubblicabili e segrete. Quale sta bene nella tua app, e quale non deve starci mai?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1027,"title":1028,"description":1029,"published":1030,"category":589,"image":1031,"draft":485},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase fa il backup del mio database? Dipende dal tuo piano.","Supabase fa il backup del tuo database? Ogni giorno sui piani a pagamento, mai su quello gratuito. Come capire cosa hai e cosa quella copia non copre.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1033,"title":1034,"description":1035,"published":1036,"category":481,"image":1037,"draft":485},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security è attivo. La tabella resta pubblica.","Attivare Supabase Row Level Security non protegge una tabella. Lo fanno le policy, e quella che ha rimesso in piedi la tua app può far entrare chiunque.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1039,"title":1040,"description":1041,"published":1036,"category":589,"image":1042,"draft":485},"\u002Fblog\u002Fversion-history-is-not-a-backup","La cronologia delle versioni non è un backup dei tuoi dati.","Lovable e Bolt tengono una cronologia delle versioni del codice. Il tuo database è un servizio a parte, e tornare indietro non ti restituisce i dati.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1044,"title":1045,"description":1046,"published":1047,"category":589,"image":1048,"draft":485},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Tre modi per fare il backup di un database Supabase, e cosa manca","Il pannello, pg_dump e un servizio gestito. Che cosa salva davvero ciascuno, cosa lascia fuori senza dirlo e quale sopravvive alla perdita dell'account.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1050,"title":1051,"description":1052,"published":1047,"category":481,"image":1053,"draft":485},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quali chiavi API sono sicure nel browser e quali no","La tua chiave anon di Supabase è fatta per essere pubblica. La chiave service_role no, e ignora ogni regola che imposti. Come distinguerle.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213651652]