[{"data":1,"prerenderedAt":1130},["ShallowReactive",2],{"blog-it-failed-to-send-a-request-to-the-edge-function":3,"blog-index-it":601},{"id":4,"title":5,"body":6,"category":557,"cover":558,"coverAlt":559,"description":560,"draft":561,"extension":562,"faq":563,"image":581,"keywords":582,"meta":589,"navigation":590,"ogTitle":591,"path":592,"published":593,"seo":594,"stem":595,"tldr":596,"updated":593,"__hash__":600},"blog_it\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function.md","\"Failed to send a request to the Edge Function\": la causa vera",{"type":7,"value":8,"toc":546},"minimark",[9,13,24,27,35,40,43,65,68,83,95,99,102,115,122,128,137,154,160,164,167,255,273,282,288,307,326,330,333,352,360,368,375,378,390,396,401,405,408,417,425,428,443,447,453,462,477,487,504,508,531],[10,11,12],"p",{},"La tua app ha un pulsante che chiama una Supabase Edge Function, quel piccolo\npezzo di codice server che un'app costruita con Lovable, Bolt, Cursor o Claude\nCode usa per il lavoro che non può avvenire nel browser, come chiamare OpenAI\ncon una chiave. Lo premi e, invece di un risultato, la tua app mostra questo:",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","Failed to send a request to the Edge Function\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26],{},"La funzione è pubblicata. Chiamata da un terminale, magari risponde anche\nbenissimo. Dalla tua app fallisce ogni volta, e \"failed to send a request to the\nEdge Function\" fa pensare che la tua richiesta non sia mai partita.",[10,28,29,30,34],{},"Potrebbe benissimo essere partita. ",[31,32,33],"strong",{},"La tua funzione potrebbe essere stata\neseguita, aver fatto il suo lavoro e risposto, e il browser si è rifiutato di\nconsegnare la risposta alla tua app."," Quale delle due cose sia successa è\nscritto in un solo posto, e non è l'errore che la tua app ha ricevuto.",[36,37,39],"h2",{"id":38},"cosa-vuol-dire-failed-to-send-a-request-to-the-edge-function","Cosa vuol dire \"Failed to send a request to the Edge Function\"?",[10,41,42],{},"Vuol dire che supabase-js ha chiesto una risposta e non ne ha ricevuta nessuna\nche potesse leggere.",[10,44,45,46,53,54,57,58,64],{},"La frase è un testo fisso dentro\n",[47,48,52],"a",{"href":49,"rel":50},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fsupabase-js\u002Fblob\u002Fmaster\u002Fpackages\u002Fcore\u002Ffunctions-js\u002Fsrc\u002Ftypes.ts",[51],"nofollow","supabase-js",",\nlegato a un errore chiamato ",[21,55,56],{},"FunctionsFetchError",". supabase-js lo lancia quando\nfallisce la richiesta stessa, prima che esista un qualsiasi codice di stato da\nguardare. È questo che lo separa dal fratello più noto:\n",[47,59,61],{"href":60},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code",[21,62,63],{},"Edge Function returned a non-2xx status code","\nvuol dire che è tornata una risposta ed era un errore. Questo vuol dire che non\nè tornata nessuna risposta leggibile.",[10,66,67],{},"Una richiesta fallisce così per una manciata di motivi. Il dispositivo è\noffline, l'indirizzo del progetto nella tua app è sbagliato, oppure le regole\ndel browser per gli altri indirizzi hanno rifiutato la risposta. Quelle regole si\nchiamano CORS, da Cross-Origin Resource Sharing, e impediscono a una pagina web\ndi leggere una risposta che arriva da un altro indirizzo, a meno che la risposta\nnon lo permetta. Quando la funzione risponde da terminale e fallisce solo nella\ntua app, il sospettato è CORS, e il browser ti dirà se è stato lui.",[10,69,70,71,74,75,78,79,82],{},"La tua app abita a un indirizzo, diciamo ",[21,72,73],{},"yourapp.lovable.app",", e la tua\nfunzione a un altro, ",[21,76,77],{},"\u003Cproject-ref>.supabase.co",". Pensa al browser come al\nportiere della tua app. La posta che arriva da un altro indirizzo viene\nconsegnata alla tua app solo se porta un'etichetta del mittente che dice che la\ntua app può averla: un header di risposta chiamato ",[21,80,81],{},"Access-Control-Allow-Origin",".\nPer una lettera come la tua, il portiere prima bussa alla porta del mittente per\nchiedere se la accetta. E quando rifiuta qualcosa, alla tua app dice solo che\nnon ha funzionato. Il motivo lo scrive nel suo registro.",[10,84,85,86,89,90,94],{},"Un terzo messaggio è della stessa famiglia. ",[21,87,88],{},"Relay Error invoking the Edge Function"," è supabase-js che segnala che il relay di Supabase non è riuscito a\nraggiungere la tua funzione, quindi\n",[47,91,93],{"href":92},"\u002Fblog\u002Fis-supabase-down-or-your-app","controlla se Supabase ha un problema"," prima\ndi toccare il codice.",[36,96,98],{"id":97},"perché-la-tua-app-non-viene-a-sapere-altro","Perché la tua app non viene a sapere altro",[10,100,101],{},"Perché il browser nasconde di proposito il motivo al tuo codice.",[10,103,104,105,110,111,114],{},"La ",[47,106,109],{"href":107,"rel":108},"https:\u002F\u002Fdeveloper.mozilla.org\u002Fen-US\u002Fdocs\u002FWeb\u002FHTTP\u002FGuides\u002FCORS\u002FErrors",[51],"pagina di MDN sugli errori CORS","\nlo dice chiaramente: per motivi di sicurezza, il codice JavaScript non ha\naccesso ai dettagli di cosa è andato storto in una richiesta CORS. La tua app\nsa che qualcosa è fallito e nient'altro. In Chrome l'errore che supabase-js\navvolge dice ",[21,112,113],{},"TypeError: Failed to fetch",", un testo che Chromium usa uguale per\nqualsiasi guasto di rete, quindi stamparlo non aggiunge niente. Secondo la stessa\npagina di MDN, l'unico modo per sapere cosa è successo è la console del browser.",[10,116,117,118,121],{},"Quello è il registro del portiere. Apri la tua app pubblicata in Chrome o Edge,\npremi F12, scegli ",[31,119,120],{},"Console"," e premi di nuovo il pulsante nella tua app. La\nriga che cerchi è rossa e comincia così:",[14,123,126],{"className":124,"code":125,"language":19},[17],"Access to fetch at 'https:\u002F\u002F\u003Cproject-ref>.supabase.co\u002Ffunctions\u002Fv1\u002F\u003Cname>' from origin 'https:\u002F\u002Fyourapp.lovable.app' has been blocked by CORS policy:\n",[21,127,125],{"__ignoreMap":23},[10,129,130,131,136],{},"Tutto quello che segue i due punti è il motivo. Firefox e Safari lo scrivono in\nun altro modo; le citazioni di questo articolo sono quelle di Chrome, prese dal\n",[47,132,135],{"href":133,"rel":134},"https:\u002F\u002Fgithub.com\u002Fchromium\u002Fchromium\u002Fblob\u002Fmain\u002Fthird_party\u002Fblink\u002Frenderer\u002Fplatform\u002Floader\u002Fcors\u002Fcors_error_string.cc",[51],"codice sorgente di Chromium",".",[10,138,139,140,143,144,147,148,153],{},"Il bussare alla porta ha un nome tecnico, preflight request. È una richiesta con\nil metodo ",[21,141,142],{},"OPTIONS"," che il browser invia prima della tua, e supabase-js ne fa\nsempre partire una: manda la tua chiave in un header ",[21,145,146],{},"Authorization"," e i tuoi\ndati come JSON, e la\n",[47,149,152],{"href":150,"rel":151},"https:\u002F\u002Fdeveloper.mozilla.org\u002Fen-US\u002Fdocs\u002FWeb\u002FHTTP\u002FGuides\u002FCORS",[51],"guida CORS di MDN","\nnon mette nessuna delle due cose fra quelle che una pagina può inviare senza\nchiedere prima.",[155,156],"diagram",{"alt":157,"caption":158,"src":159},"Due tentativi della stessa chiamata. Sopra, la risposta al bussare OPTIONS del browser torna con un contorno vuoto dove dovrebbe esserci la sua etichetta, il browser la rifiuta e la richiesta POST non parte mai. Sotto, la risposta al bussare porta la sua etichetta e passa, la richiesta POST raggiunge la funzione, che fa il suo lavoro, e la risposta torna senza etichetta e viene fermata al controllo del browser.","Sopra, il bussare viene rifiutato e la tua richiesta non parte mai. Sotto, il bussare passa, la funzione fa il lavoro e solo la sua risposta viene trattenuta.","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fthe-knock-first-1600x760.png",[36,161,163],{"id":162},"quale-metà-è-fallita-e-la-tua-funzione-è-stata-eseguita","Quale metà è fallita, e la tua funzione è stata eseguita?",[10,165,166],{},"Le parole \"preflight request\" nella riga della console lo decidono. Se ci sono,\nil browser si è fermato al bussare e la tua richiesta non è mai stata inviata. Se\nnon ci sono, la tua richiesta è passata, la tua funzione è stata eseguita e la\nsua risposta è stata trattenuta.",[168,169,170,186],"table",{},[171,172,173],"thead",{},[174,175,176,180,183],"tr",{},[177,178,179],"th",{},"La riga della console finisce con",[177,181,182],{},"Cosa è successo",[177,184,185],{},"La funzione ha fatto il lavoro?",[187,188,189,203,216,228,244],"tbody",{},[174,190,191,197,200],{},[192,193,194],"td",{},[21,195,196],{},"Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource.",[192,198,199],{},"Al bussare hanno risposto senza etichetta",[192,201,202],{},"No. Le è arrivato solo il bussare",[174,204,205,210,213],{},[192,206,207],{},[21,208,209],{},"Response to preflight request doesn't pass access control check: It does not have HTTP ok status.",[192,211,212],{},"Al bussare hanno risposto con un errore",[192,214,215],{},"No",[174,217,218,223,226],{},[192,219,220],{},[21,221,222],{},"Request header field \u003Cname> is not allowed by Access-Control-Allow-Headers in preflight response.",[192,224,225],{},"La tua app invia un header che la lista della funzione non nomina",[192,227,215],{},[174,229,230,236,239],{},[192,231,232,235],{},[21,233,234],{},"No 'Access-Control-Allow-Origin' header is present on the requested resource.",", senza citare preflight",[192,237,238],{},"Il bussare è passato, la tua richiesta è arrivata, la risposta era senza etichetta",[192,240,241],{},[31,242,243],{},"Sì",[174,245,246,249,252],{},[192,247,248],{},"Nessuna riga CORS",[192,250,251],{},"Non è CORS: la connessione, l'indirizzo o un timeout impostato dal tuo codice",[192,253,254],{},"Guarda la scheda Invocations",[10,256,257,262,263,268,269,272],{},[31,258,259,260,136],{},"La prima riga è quello che produce una funzione senza gestore per\n",[21,261,142],{}," La\n",[47,264,267],{"href":265,"rel":266},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Ftroubleshooting\u002Fedge-function-500-error-response",[51],"pagina di Supabase sull'errore 500","\nlo descrive dal lato della funzione: il bussare raggiunge il tuo codice come\nqualsiasi altra richiesta, e la funzione scrive nel log ",[21,270,271],{},"SyntaxError: Unexpected end of JSON input",", perché un bussare alla porta non porta contenuto e il codice\nha provato a leggerne uno. La sua risposta è un errore senza header, e Chrome\nsegnala l'header mancante prima di guardare lo stato. Se quella riga è nella\nscheda Logs della funzione, l'hai trovato.",[10,274,275,278,279,281],{},[31,276,277],{},"La seconda riga vuol dire che il bussare ha ricevuto gli header, e un errore\ninsieme."," Un modo per arrivarci è un controllo messo sopra il ramo per\n",[21,280,142],{}," che il bussare non può superare, come un controllo su chi chiama. Il\nbussare non porta nessuno dei tuoi header, nemmeno la tua chiave, quindi fallisce\nogni volta.",[10,283,284,287],{},[31,285,286],{},"La quarta riga è quella su cui rallentare, perché il lavoro è stato fatto."," Se\nla funzione salva una riga, manda un'email o addebita una carta, è fatto, e\npremere di nuovo il pulsante lo rifà. A fallire è stata la risposta, uscita\nsenza etichetta. Cerca prima un errore: un crash, la cui risposta il tuo codice\nnon ha fatto in tempo a scrivere, o un ramo di errore che restituisce senza gli\nheader. La stessa pagina di Supabase avverte che allora il browser dà la colpa a\nCORS per un fallimento la cui causa vera è un'altra.",[10,289,290,291,294,295,298,299,302,303,306],{},"Quindi leggi il registro della funzione prima di toccare qualsiasi header. Nella\ndashboard di Supabase apri ",[31,292,293],{},"Edge Functions",", scegli la funzione e leggi le sue\nschede ",[31,296,297],{},"Invocations"," e ",[31,300,301],{},"Logs"," al minuto in cui hai premuto il pulsante.\n",[47,304,305],{"href":60},"Leggere l'errore vero"," le\npassa in rassegna entrambe, insieme a cosa vuol dire ogni codice di stato.",[10,308,309,312,313,316,317,320,321,325],{},[31,310,311],{},"L'ultima riga vuol dire che il portiere non ha rifiutato niente."," La\nrichiesta è fallita per strada: il dispositivo ha perso la connessione, oppure\nl'indirizzo di progetto che la tua app chiama non esiste. Un caso viene dal tuo\ncodice. Se passa un ",[21,314,315],{},"timeout"," a ",[21,318,319],{},"supabase.functions.invoke",",\n",[47,322,52],{"href":323,"rel":324},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fsupabase-js\u002Fblob\u002Fmaster\u002Fpackages\u002Fcore\u002Ffunctions-js\u002Fsrc\u002FFunctionsClient.ts",[51],"\nannulla la richiesta quando il tempo scade e segnala questa stessa frase, anche\nse la funzione magari sta ancora lavorando.",[36,327,329],{"id":328},"come-correggere-rispondere-al-bussare-ed-etichettare-ogni-risposta","Come correggere: rispondere al bussare ed etichettare ogni risposta",[10,331,332],{},"Due modifiche nella funzione, e vanno nello stesso deploy.",[334,335,336,346],"ol",{},[337,338,339,345],"li",{},[31,340,341,342,344],{},"Un ramo per ",[21,343,142],{}," come primissima cosa",", prima di qualsiasi riga che\nlegga il contenuto o controlli chi chiama. Risponde al bussare con gli\nheader CORS e nient'altro.",[337,347,348,351],{},[31,349,350],{},"Gli header CORS su ogni risposta che la funzione restituisce",", quelle\nriuscite e gli errori. Una risposta senza di loro viene trattenuta, qualunque\ncosa dica.",[10,353,104,354,359],{},[47,355,358],{"href":356,"rel":357},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Ffunctions\u002Fcors",[51],"guida CORS di Supabase","\nimposta una funzione più o meno così:",[14,361,366],{"className":362,"code":364,"language":365,"meta":23},[363],"language-ts","import { corsHeaders } from 'npm:@supabase\u002Fsupabase-js@^2\u002Fcors'\n\nDeno.serve(async (req) => {\n  if (req.method === 'OPTIONS') {\n    return Response.json({ ok: true }, { headers: corsHeaders })\n  }\n  try {\n    const body = await req.json()\n    \u002F\u002F the function's own work goes here\n    return Response.json({ done: true }, { headers: corsHeaders })\n  } catch (error) {\n    const message = error instanceof Error ? error.message : String(error)\n    return Response.json({ error: message }, { status: 400, headers: corsHeaders })\n  }\n})\n","ts",[21,367,364],{"__ignoreMap":23},[10,369,370,371,374],{},"Gli header arrivano da supabase-js stesso invece che da una lista incollata\nnella funzione. La guida li importa così a partire dalla versione 2.95.0 di\nsupabase-js, perché la lista corrisponda a quello che le librerie client\ninviano, e dice di rifare il deploy dopo un aggiornamento. Le funzioni più\nvecchie portano una copia scritta a mano della stessa lista, in un file chiamato\n",[21,372,373],{},"_shared\u002Fcors.ts",". Da quella copia viene la terza riga della tabella: un header\nche la tua app invia e che la lista non nomina.",[10,376,377],{},"Se chiedi la correzione a Lovable, Bolt, Cursor o Claude Code, quei due punti\nnumerati sono il prompt. Nominali entrambi. Il secondo si dimentica facilmente,\ne una funzione che ha solo il primo passa dalla prima riga della tabella alla\nquarta al prossimo crash.",[10,379,380,381,384,385,389],{},"Gli esempi più recenti di Supabase avvolgono l'intera funzione in\n",[21,382,383],{},"withSupabase",", che risponde al bussare al posto tuo.\n",[47,386,388],{"href":387},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","Spostare un segreto in una Edge Function","\nmostra questo involucro con un controllo su chi chiama, e quel controllo è\nl'argomento della sezione successiva.",[10,391,392,393,395],{},"Con gli header su ogni risposta, una funzione che va in crash smette di mostrare\nquesto messaggio e comincia a mostrare ",[21,394,63],{},". La risposta adesso raggiunge la tua app, con il motivo dentro.",[155,397],{"alt":398,"caption":399,"src":400},"Una funzione rimanda tre risposte verso il controllo del browser. Una risposta 200 con etichetta passa e raggiunge l'app. Una risposta 500 senza etichetta viene fermata al controllo. Una risposta 400 con etichetta passa, quindi l'app riceve l'errore e può leggerlo.","Il browser cerca l'etichetta e non guarda mai cosa dice la risposta. Un errore che porta gli header raggiunge la tua app; uno senza viene trattenuto e segnalato come richiesta fallita.","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Ftag-every-reply-1600x720.png",[36,402,404],{"id":403},"lheader-cors-decide-chi-può-chiamare-la-tua-funzione","L'header CORS decide chi può chiamare la tua funzione?",[10,406,407],{},"No. Decide quali pagine web possono leggere la risposta, e solo i browser lo\nguardano.",[10,409,410,411,316,413,416],{},"La lista di Supabase stesso imposta ",[21,412,81],{},[21,414,415],{},"*",", che\nconsente qualsiasi origine, sia nella copia che supabase-js esporta sia in quella\nvecchia scritta a mano. Su una funzione che controlla il token di chi chiama,\nva bene. Su una funzione che non controlla niente, permette a qualsiasi pagina di\nqualsiasi sito di chiamare la tua funzione dai browser dei propri visitatori e\ndi leggere quello che torna.",[10,418,419,420,424],{},"Restringere l'header al tuo dominio non chiude nemmeno la funzione. Uno script,\nun terminale o un altro server invia la stessa richiesta senza browser, non legge\nmai l'header e riceve la risposta intera.\n",[47,421,423],{"href":422},"\u002Fblog\u002Fcors-wildcard-security-risk","Cosa apre e cosa no un jolly CORS"," lo spiega\nnel dettaglio.",[10,426,427],{},"La serratura di una Edge Function è un controllo su chi chiama, scritto dentro la\nfunzione. Conta soprattutto sulle funzioni che finiscono dietro questo errore,\nperché sono quelle che tengono una chiave OpenAI o la chiave segreta del tuo\nprogetto, e la chiave segreta scavalca tutte le regole di row level security che\nhai scritto.",[10,429,430,431,434,435,438,439,136],{},"L'altra via d'uscita da un errore CORS è smettere di usare la funzione: mettere\nla chiave in una variabile ",[21,432,433],{},"VITE_"," e chiamare OpenAI direttamente dalla pagina.\nFunziona subito, e mette la chiave nel file che ogni visitatore scarica. È la\nprima delle\n",[47,436,437],{"href":60},"due correzioni che ti lasciano messo peggio",".\nQuesto errore si vede da fuori. La nostra scansione gratuita legge il JavaScript\ndella tua app pubblicata come farebbe uno sconosciuto e nomina ogni chiave che\ntrova, dicendo anche se è una di quelle che devono stare lì. Ci vogliono circa 20\nsecondi e non serve un account: ",[47,440,442],{"href":441},"\u002Fsecurity-scanner","scansiona la tua app",[36,444,446],{"id":445},"tenere-la-chiave-fuori-dalla-pagina-dopo-la-prossima-modifica","Tenere la chiave fuori dalla pagina dopo la prossima modifica",[10,448,449,452],{},[31,450,451],{},"Una funzione che hai corretto oggi può essere riscritta la prossima volta che\nchiedi una funzionalità al tuo builder",", e il modo più rapido per aggirare un\nerrore CORS è quello che mette la tua chiave nella pagina.",[10,454,455],{},[31,456,457,461],{},[47,458,460],{"href":459},"\u002Fwebsite-monitoring","Reeve Monitor"," scansiona di nuovo la tua app pubblicata ogni ora:",[463,464,465,468,471,474],"ul",{},[337,466,467],{},"tutti e nove i controlli ogni ora, su un massimo di tre app",[337,469,470],{},"una email il giorno in cui una nuova scansione valuta la tua app peggio della precedente; una chiave segreta nel tuo JavaScript limita da sola il voto a D",[337,472,473],{},"se l'app risponde, ogni 60 secondi",[337,475,476],{},"un rapporto mensile di quello che ha visto",[10,478,479],{},[31,480,481,482,486],{},"Una funzione che tiene la chiave segreta del tuo progetto può cambiare\nqualsiasi riga del tuo database per chiunque la chiami.\n",[47,483,485],{"href":484},"\u002Fsupabase-backups","Reeve Care"," tiene una copia del tuo database Supabase dove\nniente nel tuo progetto può arrivare.",[463,488,489,492,495,498,501],{},[337,490,491],{},"una copia cifrata secondo una pianificazione, conservata sullo storage di Reeve nell'UE, fuori dal tuo account Supabase",[337,493,494],{},"ogni copia verificata prima di contare, contando le righe di ogni tabella",[337,496,497],{},"un ripristino in un clic che salva quello che c'è adesso prima di sostituirlo",[337,499,500],{},"anche i tuoi file caricati, appena colleghi una credenziale di Storage",[337,502,503],{},"tutto quello che fa Monitor",[36,505,507],{"id":506},"cosa-fare-adesso","Cosa fare adesso",[509,510,511],"key-takeaways",{},[463,512,513,516,522,525,528],{},[337,514,515],{},"Apri la console del browser sulla tua app pubblicata, premi di nuovo il pulsante e leggi la fine della riga CORS rossa.",[337,517,518,519,521],{},"Se la riga cita la preflight request, aggiungi in cima alla funzione un ramo per ",[21,520,142],{}," che restituisca gli header CORS.",[337,523,524],{},"Se non la cita, la tua funzione è stata eseguita. Leggi le sue schede Invocations e Logs e controlla cosa ha già fatto prima che qualcuno prema di nuovo il pulsante.",[337,526,527],{},"Restituisci gli header CORS su ogni risposta, errori compresi, e importali da supabase-js 2.95.0 o successivo perché la lista resti aggiornata.",[337,529,530],{},"Tieni dentro la funzione un controllo su chi chiama. L'header CORS dice ai browser solo chi può leggere la risposta.",[10,532,533,534,536,537,540,541,545],{},"Quando l'errore nella tua app diventa ",[21,535,63],{},", gli header funzionano e la risposta passa;\n",[47,538,539],{"href":60},"quell'articolo"," la legge da\nlì in avanti. La ",[47,542,544],{"href":543},"\u002Fchecklist","checklist di sicurezza in 10 minuti"," copre cos'altro\nun'app appena lanciata tende a lasciare aperto.",{"title":23,"searchDepth":547,"depth":547,"links":548},3,[549,551,552,553,554,555,556],{"id":38,"depth":550,"text":39},2,{"id":97,"depth":550,"text":98},{"id":162,"depth":550,"text":163},{"id":328,"depth":550,"text":329},{"id":403,"depth":550,"text":404},{"id":445,"depth":550,"text":446},{"id":506,"depth":550,"text":507},"Basi della sicurezza","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcover-1200x630.png","Una sbarra abbassata di traverso sul passaggio, con una busta trattenuta dall'altra parte e un contorno giallo vuoto dove dovrebbe pendere la sua etichetta.","\"Failed to send a request to the Edge Function\": il browser non ha ricevuto una risposta leggibile. La sua console dice perché e se la tua funzione è partita.",false,"md",[564,566,569,572,575,578],{"q":39,"a":565},"Vuol dire che supabase-js ha chiesto una risposta alla tua Supabase Edge Function e non ne ha ricevuta nessuna che potesse leggere. O la richiesta è fallita per strada, per esempio perché il dispositivo era offline, o il browser si è rifiutato di consegnare la risposta alla tua app secondo le sue regole sulle richieste verso altri indirizzi, chiamate CORS. Il browser nasconde di proposito il motivo al tuo codice e lo scrive nella sua console.",{"q":567,"a":568},"Perché la mia Edge Function funziona da terminale ma non dalla mia app?","Perché solo i browser applicano CORS. Un terminale, uno script o un altro server invia la richiesta e legge tutta la risposta. Un browser controlla prima che la risposta dica che la tua app può leggerla, e prima di una richiesta come quella che invia supabase-js chiede anche il permesso alla funzione con una richiesta OPTIONS separata. Se uno dei due passi fallisce, la tua app riceve questo errore mentre la stessa chiamata funziona ovunque altrove.",{"q":570,"a":571},"La mia Edge Function è stata eseguita se ricevo questo errore?","Leggi la riga rossa nella console del browser. Se cita la preflight request, il browser si è fermato alla richiesta di permesso e la tua richiesta non è mai partita. Se non la cita, la richiesta è passata, la funzione ha fatto il suo lavoro e solo la risposta è stata trattenuta. In quel caso leggi le schede Invocations e Logs della funzione prima di premere di nuovo il pulsante, perché un secondo clic ripete il lavoro.",{"q":573,"a":574},"Come correggo un errore CORS su una Supabase Edge Function?","Fai rispondere la funzione per prima cosa alla richiesta OPTIONS, prima di qualsiasi codice che legga il contenuto o controlli chi chiama, e restituisci gli header CORS su ogni risposta, comprese quelle di errore. La guida CORS di Supabase importa quegli header da supabase-js, versione 2.95.0 o successiva, così la lista corrisponde a quello che il client invia. Fai di nuovo il deploy della funzione dopo la modifica.",{"q":576,"a":577},"Cos'è \"Relay Error invoking the Edge Function\"?","È un terzo messaggio di supabase-js, che arriva quando il relay di Supabase non è riuscito a raggiungere la tua funzione. Non è un rifiuto CORS né una risposta del tuo codice, quindi controlla prima se è Supabase ad avere un problema, prima di cambiare qualsiasi cosa.",{"q":579,"a":580},"È sicuro consentire qualsiasi origine negli header CORS della mia Edge Function?","Solo se la funzione controlla chi la chiama. L'header CORS dice ai browser quali pagine web possono leggere la risposta; non impedisce a nessuno di chiamare la funzione. Gli header di Supabase stesso consentono qualsiasi origine, il che va bene per una funzione che controlla il token di chi chiama e lascia che qualunque sito usi una funzione che non lo fa. Restringere l'header al tuo dominio non chiude nemmeno la funzione agli script.","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",[583,56,584,585,586,587,588],"failed to send a request to the edge function","errore cors supabase edge function","supabase edge function blocked by cors policy","response to preflight request doesn't pass access control check","relay error invoking the edge function","lovable edge function cors",{},true,"\"Failed to send a request to the Edge Function\" su Supabase","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","2026-11-03",{"title":5,"description":560},"blog\u002Ffailed-to-send-a-request-to-the-edge-function",[597,598,599],"\"Failed to send a request to the Edge Function\" vuol dire che supabase-js non ha ricevuto nessuna risposta che potesse leggere. O la richiesta è fallita per strada, o il browser ha trattenuto la risposta, e la tua app non viene a sapere altro, di proposito.","La console del browser ha il motivo. Una riga che cita la preflight request vuol dire che la tua richiesta non è mai partita. Una riga che non la cita vuol dire che la tua funzione è stata eseguita e solo la sua risposta è stata trattenuta.","La correzione è un ramo per OPTIONS in cima alla funzione e gli header CORS su ogni risposta, errori compresi. Quegli header dicono ai browser solo chi può leggere la risposta; chi può chiamare lo decide un controllo nel tuo codice.","Ki0fuROCnJl5H9AP6OUIT_E25_SdTz1WTcBL7GXA3Ac",[602,608,614,620,626,632,638,639,645,651,657,664,670,676,681,687,693,699,705,711,717,723,729,735,741,747,753,759,765,771,777,783,789,795,801,807,812,818,824,830,835,841,847,853,859,865,870,876,882,888,894,900,906,912,918,924,930,936,942,948,954,960,966,972,978,984,990,996,1002,1008,1014,1020,1026,1032,1038,1044,1050,1055,1061,1067,1073,1079,1085,1091,1096,1102,1108,1114,1119,1125],{"path":603,"title":604,"description":605,"published":606,"category":557,"image":607,"draft":561},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\", spiegato","Supabase \"max client connections reached\": il pooler non ha posto per un altro client. La porta nella tua stringa di connessione decide il limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":609,"title":610,"description":611,"published":612,"category":557,"image":613,"draft":561},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Errore Supabase: \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\": Google è disattivato nel tuo progetto Supabase. Come attivarlo e risolvere redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":615,"title":616,"description":617,"published":618,"category":557,"image":619,"draft":561},"\u002Fblog\u002Fviolates-foreign-key-constraint","Errore Supabase \"violates foreign key constraint\" all'inserimento","Supabase \"insert or update on table violates foreign key constraint\": la tua riga punta a una riga che non c'è. Quale, perché, e la soluzione.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":621,"title":622,"description":623,"published":624,"category":557,"image":625,"draft":561},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Errore Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\": una colonna obbligatoria è arrivata vuota. Da dove viene il null, e la soluzione.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":627,"title":628,"description":629,"published":630,"category":557,"image":631,"draft":561},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\": dove è finita la sessione","\"Auth session missing!\" è supabase-js che non trova nessuna sessione e non arriva nemmeno a chiedere a Supabase. Dove è finita la sessione, e la correzione.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":633,"title":634,"description":635,"published":636,"category":557,"image":637,"draft":561},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\": nessun utente connesso","\"invalid claim: missing sub claim\": Supabase Auth ha ricevuto un token autentico senza alcun utente, la chiave del progetto al posto di una sessione.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":592,"title":5,"description":560,"published":593,"category":557,"image":581,"draft":561},{"path":640,"title":641,"description":642,"published":643,"category":557,"image":644,"draft":561},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Perché i link email di Supabase reindirizzano a localhost:3000","Se Supabase reindirizza a localhost:3000, la Site URL non è mai stata cambiata o il tuo indirizzo manca in Redirect URLs. La soluzione, e il jolly da evitare.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":646,"title":647,"description":648,"published":649,"category":557,"image":650,"draft":561},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" su un link nuovo","Su un link inviato un minuto fa, \"Email link is invalid or has expired\" di Supabase di solito vuol dire che un filtro della posta l'ha usato prima.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":652,"title":653,"description":654,"published":655,"category":557,"image":656,"draft":561},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\", spiegato","Supabase \"canceling statement due to statement timeout\": una query ha superato il limite del suo ruolo, 3 secondi per un visitatore. Guarda la policy RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":658,"title":659,"description":660,"published":661,"category":662,"image":663,"draft":561},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" su Supabase, e cosa porta con sé","\"Database error deleting user\" su Supabase: il tuo database ha rifiutato la cancellazione. La causa è nei log, e la soluzione decide cos'altro sparisce.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":665,"title":666,"description":667,"published":668,"category":557,"image":669,"draft":561},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" su Supabase","Un webhook Stripe in una Edge Function di Supabase dice \"No signatures found matching the expected signature\"? Due cause. Non smettere di verificare.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":671,"title":672,"description":673,"published":674,"category":557,"image":675,"draft":561},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" in Supabase: le tre cause","Supabase dice \"Invalid login credentials\" per una password sbagliata, un'email sconosciuta e un account Google. Come capire quale.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":60,"title":677,"description":678,"published":679,"category":557,"image":680,"draft":561},"\"Edge Function returned a non-2xx status code\": l'errore vero","\"Edge Function returned a non-2xx status code\" vuol dire che la tua funzione Supabase ha risposto con un errore. Ecco dove leggere quello vero.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":682,"title":683,"description":684,"published":685,"category":557,"image":686,"draft":561},"\u002Fblog\u002Fcertificate-not-trusted","Certificato non attendibile: tre cause oltre alla scadenza","Certificato non attendibile anche se la data è giusta? Nomina un altro indirizzo, si è firmato da solo o alla sua catena manca un anello. Come capirlo.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":688,"title":689,"description":690,"published":691,"category":557,"image":692,"draft":561},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\": leggi le virgolette","Supabase \"invalid input syntax for type uuid\": la tua app ha inviato qualcosa che non è un id. Leggi le virgolette, ferma la query, tieni la colonna.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":694,"title":695,"description":696,"published":697,"category":557,"image":698,"draft":561},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\", spiegato","Supabase \"duplicate key value violates unique constraint\": il valore è già preso. Trova la colonna, scegli una correzione, tieni il valore fuori schermo.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":700,"title":701,"description":702,"published":703,"category":557,"image":704,"draft":561},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" quando la tabella c'è","Supabase \"relation does not exist\" o PGRST205: nessuna tabella ha quel nome in quello schema. Quattro controlli, e che cosa apre esporre uno schema.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":706,"title":707,"description":708,"published":709,"category":557,"image":710,"draft":561},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" riporta i nomi degli argomenti inviati dalla tua app. Confrontali con la funzione.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":712,"title":713,"description":714,"published":715,"category":557,"image":716,"draft":561},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" di solito è un nome che non torna. Quattro controlli in ordine e la riga che ricarica.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":718,"title":719,"description":720,"published":721,"category":557,"image":722,"draft":561},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\": due limiti, un solo codice","Supabase \"Email Rate Limit Exceeded\" limita ogni email del tuo progetto: 2 all'ora con il mittente integrato. Cosa conta e come alzarlo.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":724,"title":725,"description":726,"published":727,"category":557,"image":728,"draft":561},"\u002Fblog\u002Fsupabase-users-logged-out","Supabase \"Invalid Refresh Token: Refresh Token Not Found\": 3 cause","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" disconnette i tuoi utenti. Tre cause, e come il log di Auth le distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":730,"title":731,"description":732,"published":733,"category":557,"image":734,"draft":561},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\": tre cause","Supabase \"permission denied for schema public\" indica un grant mancante sullo schema. Cosa lo ha tolto, e la riga che lo rimette.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":736,"title":737,"description":738,"published":739,"category":557,"image":740,"draft":561},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\": le tre cose che può voler dire","Supabase \"Bucket not found\" è una di tre cose: un link pubblico a un bucket privato, un nome non esattamente uguale o il progetto sbagliato.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":742,"title":743,"description":744,"published":745,"category":557,"image":746,"draft":561},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT: quale chiave ha smesso di funzionare?","Un errore Supabase invalid JWT è PGRST301: un token firmato non ha superato la verifica. Su un progetto recente riguarda la sessione, non la chiave API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":748,"title":749,"description":750,"published":751,"category":557,"image":752,"draft":561},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" quasi sempre è nessuna","Supabase restituisce PGRST116, \"JSON object requested, multiple (or no) rows returned\", quando la query non ha trovato nulla. Una riga nascosta sembra assente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":754,"title":755,"description":756,"published":757,"category":557,"image":758,"draft":561},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" su Supabase: dove guardare","\"Database error saving new user\" vuol dire che qualcosa attaccato alla registrazione Supabase è fallito. L'errore vero sta nei tuoi log.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":760,"title":761,"description":762,"published":763,"category":557,"image":764,"draft":561},"\u002Fblog\u002Fwhat-is-supabase","Cos'è Supabase? Il database che ha scelto il tuo builder","Cos'è Supabase: il database, il login e l'archivio file dietro la tua app. Supabase manda avanti i server; le regole su chi legge le tue righe sono tue.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":766,"title":767,"description":768,"published":769,"category":557,"image":770,"draft":561},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Una chiave AWS esposta nel frontend non è come una chiave OpenAI","Una chiave di accesso AWS esposta nel tuo frontend legge e scrive il tuo storage. La soluzione di solito è una presigned URL, non una chiave nuova.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":772,"title":773,"description":774,"published":775,"category":557,"image":776,"draft":561},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" in upload","\"New row violates row-level security policy for table objects\" vuol dire che al tuo upload manca una regola insert. Rendere pubblico il bucket non ne aggiunge.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":778,"title":779,"description":780,"published":781,"category":557,"image":782,"draft":561},"\u002Fblog\u002Fbase44-security-scan","Scansione di sicurezza Base44: ciò che vede solo lei","La scansione di sicurezza Base44 controlla sette tipi di problema dall’interno. Ecco la metà che legge e che nessun altro legge, e quella che non guarda mai.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":784,"title":785,"description":786,"published":787,"category":557,"image":788,"draft":561},"\u002Fblog\u002Fapi-key-leaked-what-to-do","La tua chiave API è trapelata. L'ordine in cui muoverti","Una chiave API è trapelata e non sai da cosa cominciare. Non tutte le chiavi nel frontend lo sono, e l'ordine conta più della velocità.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":790,"title":791,"description":792,"published":793,"category":557,"image":794,"draft":561},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" senza disattivare RLS","\"Infinite recursion detected in policy for relation\" significa che la tua policy ha interrogato la tabella che protegge. Ecco come rompere il cerchio.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":796,"title":797,"description":798,"published":799,"category":557,"image":800,"draft":561},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" su Supabase, e la correzione sbagliata","\"No API key found in request\" significa che la tua richiesta è arrivata a Supabase senza chiave. Quasi tutte le risposte indicano le regole del database.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":802,"title":803,"description":804,"published":805,"category":557,"image":806,"draft":561},"\u002Fblog\u002Fis-base44-safe","Base44 è sicuro? Cosa abbiamo trovato in 5.442 app","Base44 è sicuro? Abbiamo passato nove controlli su 5.442 app Base44 online. Quasi tutte hanno preso B, per motivi che il proprietario non ha mai scelto.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":387,"title":808,"description":809,"published":810,"category":557,"image":811,"draft":561},"Nascondere una chiave API: spostala in una Edge Function Supabase","Nascondere una chiave API vuol dire toglierla dal browser, e una Edge Function Supabase è il posto più piccolo dove metterla. Due passaggi contano di più.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":813,"title":814,"description":815,"published":816,"category":557,"image":817,"draft":561},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Il tuo file .env è esposto? I dodici percorsi da provare","Il tuo file .env è esposto sul tuo server web? Dodici indirizzi te lo dicono, e una risposta significa che tutto quello che contiene è già pubblico.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":819,"title":820,"description":821,"published":822,"category":557,"image":823,"draft":561},"\u002Fblog\u002Fis-v0-safe","Sicurezza di v0: tutte le 1.790 app v0 analizzate hanno preso A","La sicurezza di v0 misurata su 1.790 app v0 online: tutte hanno preso A. Solo 17 nominavano un database, ed è soprattutto questo che misura quella A.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":825,"title":826,"description":827,"published":828,"category":557,"image":829,"draft":561},"\u002Fblog\u002Fis-bolt-safe","Bolt è sicuro? Cosa abbiamo trovato in 1.123 app Bolt","Bolt è sicuro? Abbiamo passato 1.123 app Bolt online per nove controlli. L’hosting era pulito. I rilievi erano chiavi e tabelle aperte dentro le app.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":92,"title":831,"description":832,"published":833,"category":557,"image":834,"draft":561},"Supabase è down o è la tua app? Come capirlo","Supabase è down o è la tua app? Un progetto in pausa, un database pieno e un tuo errore sembrano la stessa cosa. Quattro controlli li separano.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":836,"title":837,"description":838,"published":839,"category":557,"image":840,"draft":561},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase crittografa i miei dati? Sì. Ecco da cosa protegge","Supabase crittografa i dati? Sì: AES-256 a riposo, TLS in transito, SOC 2 e ISO 27001. Cosa copre ciascuno, e la fuga di dati che nessuno di questi ferma.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":842,"title":843,"description":844,"published":845,"category":557,"image":846,"draft":561},"\u002Fblog\u002Fsupabase-free-plan-limits","Supabase: prezzi e limiti del piano gratuito, uno per uno","Prezzi e limiti del piano gratuito di Supabase: 500 MB di database, 5 GB di egress e nessun backup. Cosa succede a ogni soglia e cosa cambia Pro a $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":848,"title":849,"description":850,"published":851,"category":662,"image":852,"draft":561},"\u002Fblog\u002Ftest-your-supabase-backup","Testa il tuo backup di Supabase prima del giorno in cui serve","Come testare il tuo backup di Supabase: ripristinarlo in un progetto di prova, contare le righe, accedere e cercare la riga che manca a un file troncato.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":854,"title":855,"description":856,"published":857,"category":662,"image":858,"draft":561},"\u002Fblog\u002Fsupabase-backup-github-action","Backup gratis di Supabase con una GitHub Action, e il tranello","Un backup di Supabase con una GitHub Action è gratis e va bene per molte app. Il workflow, la connection string giusta e l'egress di ogni esecuzione.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":860,"title":861,"description":862,"published":863,"category":662,"image":864,"draft":561},"\u002Fblog\u002Fdownload-your-supabase-backup","Perché non puoi scaricare il tuo backup di Supabase","Non puoi scaricare il tuo backup di Supabase su un progetto recente, perché la copia giornaliera è uno snapshot fisico. Come verificarlo e tenere una copia tua.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":866,"title":867,"description":868,"published":863,"category":557,"image":869,"draft":561},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\": il grant mancante","Dal 30 ottobre una nuova tabella di Supabase risponde \"permission denied for table\" finché non concedi l'accesso. Il grant della mail è metà della soluzione.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":871,"title":872,"description":873,"published":874,"category":557,"image":875,"draft":561},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint API aperto è un problema di sicurezza? Leggi il JSON","La tua scansione ha segnalato un endpoint API aperto. Quanto conti dipende da che cosa è tornato, e la maggior parte di quelli trovati era della piattaforma.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":877,"title":878,"description":879,"published":880,"category":557,"image":881,"draft":561},"\u002Fblog\u002Flovable-security-scan","Scansione di sicurezza Lovable: cosa non può dimostrare","Scansione di sicurezza Lovable: cosa controllano Quick scan e Deep scan, quando parte ciascuno, e l’unica cosa che nessuna scansione dall’interno dimostra.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":883,"title":884,"description":885,"published":886,"category":662,"image":887,"draft":561},"\u002Fblog\u002Fsupabase-backup-auth-users","Perché nel tuo dump Supabase non ci sono utenti","Lancia supabase db dump da solo e ottieni la forma del tuo database e nessuna delle sue righe, senza lo schema auth in cui vivono i tuoi utenti.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":889,"title":890,"description":891,"published":892,"category":557,"image":893,"draft":561},"\u002Fblog\u002Fdomain-and-certificate-expiry","Dominio scaduto, sito offline: cosa succede adesso","Il tuo dominio è scaduto e il sito è offline. Il conto alla rovescia che parte, perché il certificato è il problema minore, e come controllarli entrambi.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":895,"title":896,"description":897,"published":898,"category":557,"image":899,"draft":561},"\u002Fblog\u002Fis-lovable-safe","Lovable è sicuro? Cosa abbiamo trovato in 18.554 app Lovable","Lovable è sicuro? Abbiamo passato 18.554 app Lovable online per nove controlli. La piattaforma è risultata la più pulita di cinque. I rilievi stavano nelle app.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":901,"title":902,"description":903,"published":904,"category":557,"image":905,"draft":561},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist di sicurezza del vibe coding, in nove controlli","Una checklist di sicurezza del vibe coding in nove voci, ognuna verificabile dall’esterno sulla tua app dal vivo, e ognuna con un test di una riga.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":907,"title":908,"description":909,"published":910,"category":557,"image":911,"draft":561},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Una chiave segreta Stripe nel frontend può muovere denaro","Una chiave segreta Stripe esposta nel tuo frontend può rimborsare, addebitare e leggere ogni scheda cliente che hai. La tua chiave pk_live_ ci sta bene.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":913,"title":914,"description":915,"published":916,"category":557,"image":917,"draft":561},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica","Variabili d’ambiente Vite esposte: la tua app ha fatto ciò che il prefisso chiedeva. VITE_ e NEXT_PUBLIC_ vogliono dire pubblica, e l’IA non sapeva il costo.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":919,"title":920,"description":921,"published":922,"category":557,"image":923,"draft":561},"\u002Fblog\u002Fbase44-source-maps","Sicurezza Base44: cosa segnala uno scan e cosa tocca a te sistemare","Sicurezza Base44 su 5.438 app scansionate: tre segnalazioni su quasi tutte sono della piattaforma, la source map è il badge di Base44, la tua parte è corta.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":925,"title":926,"description":927,"published":928,"category":557,"image":929,"draft":561},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI è sicuro? L’editor, il codice e l’app che hai pubblicato","Cursor AI è sicuro? Tre domande in una ricerca: cosa tiene Cursor, cosa sbaglia il codice che scrive, e se l’app che hai pubblicato è aperta.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":931,"title":932,"description":933,"published":934,"category":557,"image":935,"draft":561},"\u002Fblog\u002Fis-replit-safe","Replit è sicuro? Cosa abbiamo trovato in 3.042 app Replit online","Replit è sicuro? Abbiamo passato 3.042 app Replit online per nove controlli esterni. I rilievi stavano nell’app pubblicata, non nell’host.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":937,"title":938,"description":939,"published":940,"category":662,"image":941,"draft":561},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup: la copia del database non ha nessun file","Un Supabase storage backup è un lavoro a parte. I backup del database tengono la lista dei tuoi file e nessuno dei file, quindi ogni upload resta rotto.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":943,"title":944,"description":945,"published":946,"category":662,"image":947,"draft":561},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery di Supabase: prezzo e limiti","Il point-in-time recovery di Supabase riavvolge il database a qualsiasi secondo della settimana scorsa. $100 al mese oltre a Pro, e copre solo il database.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":949,"title":950,"description":951,"published":952,"category":662,"image":953,"draft":561},"\u002Fblog\u002Fsupabase-project-paused-recover","Progetto Supabase in pausa? I tuoi dati sono ancora lì","Supabase ha messo in pausa il tuo progetto dopo una settimana senza attività. Non è cancellato niente, Ripristina è accanto al nome e hai un anno di tempo.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":955,"title":956,"description":957,"published":958,"category":557,"image":959,"draft":561},"\u002Fblog\u002Fsafest-ai-app-builder","Qual è il builder di app con IA più sicuro? 30.998 app testate","Qual è il builder di app con IA più sicuro? Abbiamo scansionato 30.998 app online di Lovable, Base44, Replit, v0 e Bolt. Non è il builder a decidere il voto.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":961,"title":962,"description":963,"published":964,"category":557,"image":965,"draft":561},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Attiva Row Level Security su ogni tabella Supabase, poi verificalo","Attivare Row Level Security su Supabase senza una policy chiude del tutto la tabella. Una policy senza il flag non fa nulla. Ecco lo SQL, e la verifica.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":967,"title":968,"description":969,"published":970,"category":557,"image":971,"draft":561},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\": cosa non vede l'avviso","Supabase segnala \"RLS disabled in public\" come errore. Non dice nulla della policy di lettura che lascia la tua tabella altrettanto aperta.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":973,"title":974,"description":975,"published":976,"category":557,"image":977,"draft":561},"\u002Fblog\u002Frotate-supabase-service-role-key","Come ruotare una chiave service_role Supabase trapelata","Supabase dice di chiudere prima la falla. Altre guide dicono di ruotare subito. Quale sia giusto dipende da dove è finita la tua chiave service_role.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":979,"title":980,"description":981,"published":982,"category":557,"image":983,"draft":561},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanner di sicurezza per vibe coding a confronto, il nostro incluso","Il miglior scanner di sicurezza per vibe coding dipende da tre domande che nessun elenco di funzioni affronta. Otto strumenti a confronto, con i prezzi.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":985,"title":986,"description":987,"published":988,"category":557,"image":989,"draft":561},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker: i cinque controlli da fare da soli","Un Supabase security checker legge la tua app pubblicata invece delle impostazioni del progetto. Ecco i cinque controlli che esegue e come farli da solo.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":991,"title":992,"description":993,"published":994,"category":557,"image":995,"draft":561},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner di sicurezza per vibe coding: cosa si perde","Uno scanner di sicurezza per vibe coding legge la tua app dal vivo, da fuori. Cosa copre, le quattro cose che non può vedere e come leggere il risultato.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":997,"title":998,"description":999,"published":1000,"category":557,"image":1001,"draft":561},"\u002Fblog\u002Fmissing-security-headers","Intestazioni di sicurezza mancanti: quando contano","Le intestazioni di sicurezza mancanti sono il rilievo che il nostro scanner stampa più spesso. Da cosa proteggono e quando sono la riga meno urgente.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1003,"title":1004,"description":1005,"published":1006,"category":557,"image":1007,"draft":561},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","La tua chiave API OpenAI è esposta nel frontend. Ruotala.","Una chiave API OpenAI esposta nel frontend non si può legare a nessun dominio. Ruotala oggi, sposta la chiamata sul tuo server e metti un tetto di spesa.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1009,"title":1010,"description":1011,"published":1012,"category":557,"image":1013,"draft":561},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Chiave API esposta nel frontend: cosa spediscono 30.998 app","Una chiave API esposta nel tuo frontend è quasi sempre una chiave di Google Maps. Abbiamo scansionato 30.998 app vibe-coded e contato cosa esce davvero.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1015,"title":1016,"description":1017,"published":1018,"category":662,"image":1019,"draft":561},"\u002Fblog\u002Fsupabase-backup-tools-compared","Strumenti di backup Supabase a confronto, il nostro incluso","Quattro tipi di strumento di backup Supabase, cosa copia davvero ognuno, e il caso in cui una GitHub Action gratuita batte il pagare chiunque, noi inclusi.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1021,"title":1022,"description":1023,"published":1024,"category":557,"image":1025,"draft":561},"\u002Fblog\u002Freplit-secrets-explained","Come usare i secret su Replit, e cosa viene comunque pubblicato","Come usare i secret su Replit: aggiungerne uno, rileggerlo e risolvere le due cause dell'undefined. E le chiavi che lo strumento non riesce a proteggere.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1027,"title":1028,"description":1029,"published":1030,"category":662,"image":1031,"draft":561},"\u002Fblog\u002Fback-up-supabase-free-tier","Backup del piano gratuito Supabase: farne uno senza terminale","Sul piano gratuito Supabase non esistono backup: la copia la fai tu. Come farne uno dalla dashboard e che cosa si lascia dietro la via del CSV.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1033,"title":1034,"description":1035,"published":1036,"category":557,"image":1037,"draft":561},"\u002Fblog\u002Fis-supabase-secure","Supabase è sicuro? Sì. Il tuo progetto è un'altra questione","Supabase è sicuro? La piattaforma è certificata, cifrata e sottoposta a pentest. La loro documentazione dice dove finisce quello e iniziano le tue impostazioni.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1039,"title":1040,"description":1041,"published":1042,"category":557,"image":1043,"draft":561},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Dove trovare le chiavi API di Supabase: anon, service_role e URL","L'URL del progetto, la chiave anon e la chiave service_role stanno su una pagina della dashboard. Ecco dove si trova e quale dei quattro va nella tua app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1045,"title":1046,"description":1047,"published":1048,"category":557,"image":1049,"draft":561},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy su Supabase. E adesso?","\"New row violates row-level security policy\" significa che Supabase ha rifiutato una scrittura. La soluzione veloce riapre la tabella a chiunque.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":422,"title":1051,"description":1052,"published":1053,"category":557,"image":1054,"draft":561},"Un wildcard CORS è un rischio di sicurezza? Quasi mai.","Un wildcard CORS è un rischio di sicurezza? Di solito è il valore predefinito del tuo builder e non consegna nulla che il tuo server non desse già a chiunque.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1056,"title":1057,"description":1058,"published":1059,"category":662,"image":1060,"draft":561},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Il branching di Supabase non è un backup. Va solo in avanti.","Perché il branching di Supabase non è un backup: un branch parte senza i tuoi dati e un merge sposta solo lo schema. A cosa serve davvero e cosa usare invece.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1062,"title":1063,"description":1064,"published":1065,"category":662,"image":1066,"draft":561},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Come ripristinare un backup Supabase, e cosa si rompe dopo","Come ripristinare un backup Supabase dalla dashboard o da un file di dump, che cosa sostituisce il ripristino e perché la tua app può restare rotta lo stesso.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1068,"title":1069,"description":1070,"published":1071,"category":557,"image":1072,"draft":561},"\u002Fblog\u002Fsupabase-storage-bucket-public","Il tuo bucket Supabase Storage è pubblico. È un problema?","Un bucket Supabase Storage pubblico significa che chi ha l'URL di un file può aprirlo. Non significa che qualcuno possa elencare quello che c'è dentro.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1074,"title":1075,"description":1076,"published":1077,"category":557,"image":1078,"draft":561},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Una chiave API Google nel frontend è un problema?","Una chiave API Google esposta nel frontend è la chiave che il nostro scanner trova più spesso, e di solito va bene così. Lo decide una impostazione gratuita.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1080,"title":1081,"description":1082,"published":1083,"category":662,"image":1084,"draft":561},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agente IA ha cancellato i miei dati Supabase. Cosa recupero?","Un agente IA ha cancellato dati dal tuo database. Quello che puoi recuperare era già deciso prima che partisse, e i prossimi minuti decidono il resto.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1086,"title":1087,"description":1088,"published":1089,"category":557,"image":1090,"draft":561},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Chiunque può leggere il tuo database Supabase? 3.680 app testate","Chiunque può leggere il tuo database Supabase senza fare login? Abbiamo scansionato 30.998 app online create con i builder IA e misurato quante rispondono sì.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1092,"title":1093,"description":1094,"published":1089,"category":557,"image":1095,"draft":561},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source map esposte: la tua app sta pubblicando il codice originale","Una source map esposta permette a chiunque di leggere il codice originale della tua app, commenti inclusi. Il controllo da 30 secondi e cosa conta davvero.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1097,"title":1098,"description":1099,"published":1100,"category":557,"image":1101,"draft":561},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key: è la stessa della anon key?","Supabase ha sostituito anon e service_role con chiavi pubblicabili e segrete. Quale sta bene nella tua app, e quale non deve starci mai?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1103,"title":1104,"description":1105,"published":1106,"category":662,"image":1107,"draft":561},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase fa il backup del mio database? Dipende dal tuo piano.","Supabase fa il backup del tuo database? Ogni giorno sui piani a pagamento, mai su quello gratuito. Come capire cosa hai e cosa quella copia non copre.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1109,"title":1110,"description":1111,"published":1112,"category":557,"image":1113,"draft":561},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security è attivo. La tabella resta pubblica.","Attivare Supabase Row Level Security non protegge una tabella. Lo fanno le policy, e quella che ha rimesso in piedi la tua app può far entrare chiunque.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1115,"title":1116,"description":1117,"published":1112,"category":662,"image":1118,"draft":561},"\u002Fblog\u002Fversion-history-is-not-a-backup","La cronologia delle versioni non è un backup dei tuoi dati.","Lovable e Bolt tengono una cronologia delle versioni del codice. Il tuo database è un servizio a parte, e tornare indietro non ti restituisce i dati.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1120,"title":1121,"description":1122,"published":1123,"category":662,"image":1124,"draft":561},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Tre modi per fare il backup di un database Supabase, e cosa manca","Il pannello, pg_dump e un servizio gestito. Che cosa salva davvero ciascuno, cosa lascia fuori senza dirlo e quale sopravvive alla perdita dell'account.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1126,"title":1127,"description":1128,"published":1123,"category":557,"image":1129,"draft":561},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quali chiavi API sono sicure nel browser e quali no","La tua chiave anon di Supabase è fatta per essere pubblica. La chiave service_role no, e ignora ogni regola che imposti. Come distinguerle.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213651570]