[{"data":1,"prerenderedAt":1276},["ShallowReactive",2],{"blog-it-invalid-claim-missing-sub-claim":3,"blog-index-it":751},{"id":4,"title":5,"body":6,"category":709,"cover":710,"coverAlt":711,"description":712,"draft":713,"extension":714,"faq":715,"image":731,"keywords":732,"meta":739,"navigation":740,"ogTitle":741,"path":742,"published":743,"seo":744,"stem":745,"tldr":746,"updated":743,"__hash__":750},"blog_it\u002Fblog\u002Finvalid-claim-missing-sub-claim.md","Supabase \"invalid claim: missing sub claim\": nessun utente connesso",{"type":7,"value":8,"toc":696},"minimark",[9,13,24,36,41,44,59,77,83,86,97,103,107,110,119,129,135,142,148,174,182,186,189,203,211,219,226,236,260,265,269,272,283,331,342,345,349,352,361,367,383,389,403,407,410,428,435,445,449,452,566,585,589,595,604,618,628,645,649,681],[10,11,12],"p",{},"La tua app ha una Supabase Edge Function che fa qualcosa per la persona che la\nusa, come salvare le sue impostazioni o chiamare OpenAI per conto suo. Mentre la\nprovavi funzionava. Poi il log della funzione comincia a riempirsi di questa\nriga, e l'app mostra un errore o niente del tutto:",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","AuthApiError: invalid claim: missing sub claim\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26,27,30,31,35],{},"Cerca \"invalid claim: missing sub claim\" e ti diranno di rigenerare le chiavi,\ndi spegnere Verify JWT o di mettere la chiave ",[21,28,29],{},"service_role",". Ognuno di questi\nconsigli tratta il token come rotto. ",[32,33,34],"strong",{},"Il token andava bene."," Supabase ha\ncontrollato la firma e l'ha accettato. Quello che gli mancava era un nome,\nqualunque.",[37,38,40],"h2",{"id":39},"cosa-significa-invalid-claim-missing-sub-claim","Cosa significa \"invalid claim: missing sub claim\"?",[10,42,43],{},"A Supabase Auth è stato chiesto quale utente sta chiamando; ha trovato il token\nautentico e nessun utente scritto dentro.",[10,45,46,47,50,51,58],{},"I token che legge Supabase Auth sono JWT: tre blocchi di testo separati da\npunti, in cui il blocco centrale sono dati leggibili. Ogni voce di quei dati si\nchiama claim. ",[21,48,49],{},"sub",", abbreviazione di subject, è il claim che contiene l'id di\nun utente, e la\n",[52,53,57],"a",{"href":54,"rel":55},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fjwt-fields",[56],"nofollow","guida ai JWT di Supabase"," lo\ndescrive come l'ID dell'utente, un UUID.",[10,60,61,62,65,66,69,70,72,73,76],{},"Il messaggio è scritto nel codice sorgente di Supabase Auth stesso, in una\nfunzione chiamata ",[21,63,64],{},"maybeLoadUserOrSession"," dentro ",[21,67,68],{},"internal\u002Fapi\u002Fauth.go",". Quando\nquella funzione gira, la firma del token è già stata controllata ed è passata.\nPoi cerca ",[21,71,49],{},", e quando il claim è vuoto si ferma con un HTTP 403, il codice di\nerrore ",[21,74,75],{},"bad_jwt"," e questa frase. La risposta che riceve il tuo codice è così:",[14,78,81],{"className":79,"code":80,"language":19},[17],"{\"code\":403,\"error_code\":\"bad_jwt\",\"msg\":\"invalid claim: missing sub claim\"}\n",[21,82,80],{"__ignoreMap":23},[10,84,85],{},"Immagina una reception a cui viene fatta una sola domanda: che visitatore è\nquesto? Porgi un badge. La reception controlla prima il timbro, e il timbro è\nautentico. Poi legge la riga del nome, e la riga del nome è vuota. La reception\nnon ha niente con cui rispondere, quindi rifiuta, e il rifiuto indica la riga\nvuota.",[10,87,88,89,92,93,96],{},"Qualsiasi chiamata che abbia bisogno di una persona che ha fatto l'accesso può\nricevere questa risposta. ",[21,90,91],{},"getUser()"," e ",[21,94,95],{},"updateUser()"," sono le due in cui è più\nprobabile che tu la veda, e anche aggiungere un secondo fattore o collegare un\naltro metodo di accesso passa dallo stesso controllo.",[98,99],"diagram",{"alt":100,"caption":101,"src":102},"Due badge arrivano alla stessa reception. Entrambi hanno un sigillo autentico ed entrambi passano il controllo del sigillo. Quello in alto, marcato authenticated, ha un volto e un nome, e la reception risponde con una persona e 200. Quello in basso, marcato anon, ha la foto e la riga del nome vuote e tratteggiate, e la reception risponde 403.","Il sigillo si controlla per primo, ed entrambi i badge passano. La domanda che fallisce è la seconda: di chi è il nome che porta.","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fthe-name-line-1600x720.png",[37,104,106],{"id":105},"una-chiave-nomina-la-tua-app-un-token-di-sessione-nomina-una-persona","Una chiave nomina la tua app. Un token di sessione nomina una persona.",[10,108,109],{},"La chiave API del tuo progetto è il badge con la riga del nome vuota, ed è stata\nfatta così apposta.",[10,111,112,113,118],{},"La ",[52,114,117],{"href":115,"rel":116},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fgetting-started\u002Fapi-keys",[56],"documentazione delle chiavi API","\nlo dice in una riga: secondo Supabase, una chiave API non distingue tra utenti,\nma tra applicazioni. La chiave dice a Supabase quale app sta chiamando. Chi sta\nusando quell'app è un'altra domanda, a cui risponde un token che Supabase Auth\nrilascia a ogni persona quando fa l'accesso.",[10,120,121,122,125,126,128],{},"La guida ai JWT di Supabase li riporta entrambi. La chiave ",[21,123,124],{},"anon"," di un progetto\npiù vecchio si decodifica così, e non c'è nessun ",[21,127,49],{}," da nessuna parte:",[14,130,133],{"className":131,"code":132,"language":19},[17],"{\n  \"iss\": \"supabase\",\n  \"ref\": \"abcdefghijklmnopqrst\",\n  \"role\": \"anon\",\n  \"iat\": 1640991600,\n  \"exp\": 1640995200\n}\n",[21,134,132],{"__ignoreMap":23},[10,136,137,138,141],{},"Il token di accesso di una persona che ha fatto l'accesso porta il suo id, il\nruolo ",[21,139,140],{},"authenticated"," e la sessione a cui appartiene (ridotto qui alle righe che\ncontano):",[14,143,146],{"className":144,"code":145,"language":19},[17],"{\n  \"sub\": \"123e4567-e89b-12d3-a456-426614174000\",\n  \"role\": \"authenticated\",\n  \"session_id\": \"123e4567-e89b-12d3-a456-426614174000\",\n  \"email\": \"user@example.com\"\n}\n",[21,147,145],{"__ignoreMap":23},[10,149,150,151,153,154,157,158,160,161,92,164,167,168,173],{},"La chiave ",[21,152,29],{}," è di nuovo la prima forma, con\n",[21,155,156],{},"\"role\": \"service_role\""," e ancora nessun ",[21,159,49],{},". Le chiavi più recenti\n",[21,162,163],{},"sb_publishable_",[21,165,166],{},"sb_secret_"," non sono nemmeno JWT, ma la\n",[52,169,172],{"href":170,"rel":171},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Ftroubleshooting\u002Fauth-error-401-invalid-claim-missing-sub--AFwMR",[56],"pagina di troubleshooting di Supabase per questo errore","\ndice che Auth le riconosce e che neanche loro portano il claim sub. Quindi ogni\nchiave del tuo progetto, vecchia o nuova, pubblica o segreta, produce questo\nmessaggio quando viene consegnata ad Auth come se fosse una persona. La stessa\npagina nomina lo sbaglio senza giri di parole: usare per distrazione una chiave\nAPI di Supabase al posto del token di accesso di Auth.",[10,175,176,177,181],{},"Se le chiavi e i loro prefissi sono una novità per te,\n",[52,178,180],{"href":179},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","quali chiavi API possono stare nel tuo frontend","\nspiega come distinguere quella pubblica da quella segreta.",[37,183,185],{"id":184},"dove-la-chiave-viene-mandata-al-posto-di-una-sessione","Dove la chiave viene mandata al posto di una sessione",[10,187,188],{},"Tre strade portano qui, e la prima è quella che prende una Edge Function.",[10,190,191,194,195,198,199,202],{},[32,192,193],{},"1. Una Edge Function chiamata da una pagina in cui nessuno ha fatto\nl'accesso."," Quando supabase-js ha una sessione, mette il token della persona\nnell'header ",[21,196,197],{},"Authorization",". Quando non ce l'ha, non ha nient'altro da metterci,\nquindi con una chiave vecchia manda in quell'header la chiave del tuo progetto.\nIl suo file ",[21,200,201],{},"fetch.ts"," si legge esattamente così: il token di sessione se c'è,\naltrimenti la chiave.",[10,204,205,206,210],{},"Il controllo Verify JWT della piattaforma lascia entrare quella richiesta. Una\nchiave vecchia è un JWT firmato dal tuo progetto, e Supabase documenta che il\ncontrollo accetta anche le chiavi nuove: è la falla che\n",[52,207,209],{"href":208},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","spostare un segreto in una Edge Function","\nspiega per intero. La tua funzione passa poi l'header ad Auth, ed è quello che\nfanno queste righe:",[14,212,217],{"className":213,"code":215,"language":216,"meta":23},[214],"language-ts","const supabase = createClient(\n  Deno.env.get('SUPABASE_URL')!,\n  Deno.env.get('SUPABASE_ANON_KEY')!,\n  { global: { headers: { Authorization: req.headers.get('Authorization')! } } },\n)\nconst { data: { user } } = await supabase.auth.getUser()\n","ts",[21,218,215],{"__ignoreMap":23},[10,220,221,222,225],{},"Auth legge la chiave, trova la riga del nome vuota e risponde 403. Se la\nfunzione restituisce quel fallimento, la tua app mostra ",[21,223,224],{},"Edge Function returned a non-2xx status code",", con questo messaggio che aspetta nel log della funzione.",[10,227,228,231,232,235],{},[32,229,230],{},"2. Una chiamata fatta prima che l'accesso fosse completato."," La pagina di\ntroubleshooting di Supabase nomina anche questo caso: un utente che aveva\ncominciato a registrarsi o ad accedere e non aveva finito quando è stato\nchiamato ",[21,233,234],{},"getUser",". Una forma che prende è una registrazione che aspetta ancora\nla sua email di conferma. Non c'è ancora una sessione, quindi quello che è\narrivato ad Auth non era il token di una persona.",[10,237,238,241,242,245,246,249,250,253,254,256,257,259],{},[32,239,240],{},"3. Il tuo server passa ad Auth il valore sbagliato."," Una route che chiama\n",[21,243,244],{},"getUser(token)"," con la chiave in ",[21,247,248],{},"token",", oppure un'automazione in n8n, Make o\nPostman che chiama ",[21,251,252],{},"\u002Fauth\u002Fv1\u002Fuser"," con la chiave nel suo header\n",[21,255,197],{},". La soluzione che dà la pagina di Supabase per questo caso è\nassicurarsi che il token passato a ",[21,258,91],{}," sia il token di accesso della\npersona.",[98,261],{"alt":262,"caption":263,"src":264},"Una pagina in cui nessuno ha fatto l'accesso manda due badge vuoti identici, uno marcato apikey e uno Authorization. Entrambi passano il controllo della piattaforma con una spunta e raggiungono la Edge Function. La funzione passa il badge di Authorization alla reception, che risponde 403 con una croce.","Senza nessuno che abbia fatto l'accesso, la pagina manda la stessa chiave in entrambi gli header. Ogni controllo prima di Auth la lascia passare, e solo la domanda di Auth trova vuota la riga del nome.","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fthe-same-key-twice-1600x760.png",[37,266,268],{"id":267},"come-vedere-cosa-ha-ricevuto-la-tua-funzione","Come vedere cosa ha ricevuto la tua funzione",[10,270,271],{},"Confronta due header della richiesta nel tuo browser.",[10,273,274,275,278,279,282],{},"Apri la tua app pubblicata, premi F12, scegli la scheda ",[32,276,277],{},"Network"," e ripeti ciò\nche è fallito. Clicca sulla richiesta il cui indirizzo contiene ",[21,280,281],{},"\u002Ffunctions\u002Fv1\u002F","\ne il nome della tua funzione, e leggi i suoi header di richiesta:",[284,285,286,303,314],"ul",{},[287,288,289,302],"li",{},[32,290,291,293,294,297,298,301],{},[21,292,197],{}," contiene ",[21,295,296],{},"Bearer"," e poi la stessa stringa di ",[21,299,300],{},"apikey","."," La\npagina non aveva una sessione da mandare, quindi ha mandato la chiave due\nvolte. Sei sulla strada 1 o 2.",[287,304,305,313],{},[32,306,307,309,310,301],{},[21,308,197],{}," contiene un'altra stringa lunga che comincia con ",[21,311,312],{},"eyJ"," Il\ntoken di una persona è partito. La funzione o il tuo server l'ha perso per\nstrada, quindi sei sulla strada 3.",[287,315,316,321,322,326,327,330],{},[32,317,318,319,301],{},"Non c'è nessun header ",[21,320,197],{}," Allora non è questo il messaggio che\nvedrai. Con Verify JWT acceso, la piattaforma rifiuta la richiesta con un 401\nprima che giri il tuo codice, e\n",[52,323,325],{"href":324},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","l'articolo sull'errore non-2xx","\nlo legge. Spento, Auth risponde ",[21,328,329],{},"This endpoint requires a valid Bearer token",",\nla prima riga della tabella più sotto.",[10,332,333,334,337,338,301],{},"Se invece il messaggio è nella console del browser e dice\n",[21,335,336],{},"Auth session missing!",", nessuna richiesta ha raggiunto Auth: supabase-js non ha\ntrovato nessuna sessione e si è fermata prima di mandarne una, e lo tratta\n",[52,339,341],{"href":340},"\u002Fblog\u002Fauth-session-missing","il suo articolo",[10,343,344],{},"Leggi i valori dove sono. Non incollare nessuno dei due in un sito che si offre\ndi decodificarlo: la tua chiave è comunque pubblica, ma il token di accesso di\nuna persona permette a chiunque lo abbia di agire come quella persona finché non\nscade.",[37,346,348],{"id":347},"la-soluzione-chiedere-solo-quando-qualcuno-ha-fatto-laccesso","La soluzione: chiedere solo quando qualcuno ha fatto l'accesso",[10,350,351],{},"Decidi cosa deve fare la funzione per un visitatore che non ha fatto l'accesso,\ne scrivi quella decisione nella funzione.",[10,353,354,357,358,360],{},[32,355,356],{},"Se devono usarla solo le persone che hanno fatto l'accesso,"," due modifiche.\nLa pagina chiama la funzione solo dopo che qualcuno ha fatto l'accesso. E la\nfunzione risponde un 401 netto quando ",[21,359,91],{}," non trova nessun utente, così\nuna chiamata vagante da una pagina senza accesso riceve un rifiuto chiaro invece\ndi un crash:",[14,362,365],{"className":363,"code":364,"language":216,"meta":23},[214],"const { data: { user } } = await supabase.auth.getUser()\nif (!user) {\n  return new Response(JSON.stringify({ error: 'Sign in first' }), {\n    status: 401,\n    headers: { ...corsHeaders, 'Content-Type': 'application\u002Fjson' },\n  })\n}\n",[21,366,364],{"__ignoreMap":23},[10,368,369,370,374,375,378,379,382],{},"Tieni gli header CORS anche su quella risposta, altrimenti il browser la\nnasconde alla tua app e ti trovi davanti\n",[52,371,373],{"href":372},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\"","\nal suo posto. Supabase offre anche un wrapper, ",[21,376,377],{},"withSupabase({ auth: 'user' })",",\nche fa lo stesso controllo prima che giri il tuo handler;\n",[52,380,381],{"href":208},"l'articolo sulla Edge Function"," mostra\ncome impostarlo.",[10,384,385,388],{},[32,386,387],{},"Se devono usarla anche i visitatori senza accesso,"," chiedi ad Auth solo sulla\nstrada che ha bisogno di una persona. Tratta un rifiuto lì come \"questo è un\nvisitatore\" e vai avanti con ciò che un visitatore può fare, invece di lasciare\nche l'errore fermi la richiesta.",[10,390,391,394,395,398,399,402],{},[32,392,393],{},"Sul tuo server,"," manda il token di accesso della persona dal browser, come\ndescrive la pagina di Supabase: mettilo in un header ",[21,396,397],{},"Authorization: Bearer","\ndella tua richiesta, leggilo sul server e chiama ",[21,400,401],{},"supabase.auth.getUser(token)","\ncon quel valore. La chiave del tuo progetto non entra mai in quella chiamata.",[37,404,406],{"id":405},"due-correzioni-che-peggiorano-le-cose","Due correzioni che peggiorano le cose",[10,408,409],{},"Entrambe vengono suggerite per questo errore, ed entrambe ti lasciano messo\npeggio dell'errore stesso.",[10,411,412,415,416,92,418,420,421,423,424,301],{},[32,413,414],{},"Mettere al suo posto la chiave segreta."," Non può aiutare, perché\n",[21,417,29],{},[21,419,166],{}," non portano ",[21,422,49],{}," nemmeno loro, quindi Auth\nrisponde allo stesso modo. Il danno sta in dove finisce la chiave. Chiedi a un\nbuilder di \"usare la chiave di servizio\" per superare un errore e potrebbe\nbenissimo metterla nella pagina che i tuoi visitatori scaricano, dove legge e\nscrive ogni riga del tuo database qualunque cosa dicano le tue regole. Se è già\nsuccesso, ",[52,425,427],{"href":426},"\u002Fblog\u002Frotate-supabase-service-role-key","ruotala prima di tutto",[10,429,430,431,301],{},"Questo passo falso si vede dall'esterno. La nostra scansione gratuita legge il\nJavaScript della tua app pubblicata come farebbe un estraneo e nomina ogni\nchiave che trova, compreso se è una che deve stare lì. Ci mette circa 20\nsecondi e non serve un account: ",[52,432,434],{"href":433},"\u002Fsecurity-scanner","scansiona la tua app",[10,436,437,440,441,444],{},[32,438,439],{},"Togliere il controllo e prendere l'id dell'utente dalla richiesta."," Una\nfunzione che legge ",[21,442,443],{},"userId"," dal corpo della richiesta crede a chiunque lo\nmandi. Se quella funzione scrive anche con la chiave segreta, chiunque apra la\ntua pagina e legga come viene chiamata la funzione può agire come uno qualsiasi\ndei tuoi utenti, e niente nei tuoi log dice che non erano loro. Con il controllo\nal suo posto, un estraneo che prova la stessa chiamata riceve questo errore e\nnient'altro.",[37,446,448],{"id":447},"gli-altri-messaggi-dello-stesso-controllo","Gli altri messaggi dello stesso controllo",[10,450,451],{},"I controlli di Auth girano in un ordine fisso e ognuno ha la sua frase, quindi\nil messaggio ti dice fin dove è arrivato il token.",[453,454,455,471],"table",{},[456,457,458],"thead",{},[459,460,461,465,468],"tr",{},[462,463,464],"th",{},"Messaggio",[462,466,467],{},"Stato e codice",[462,469,470],{},"Cosa è successo",[472,473,474,492,507,521,536,551],"tbody",{},[459,475,476,481,487],{},[477,478,479],"td",{},[21,480,329],{},[477,482,483,484],{},"401 ",[21,485,486],{},"no_authorization",[477,488,489,490,301],{},"Non è arrivato nessun header ",[21,491,397],{},[459,493,494,499,504],{},[477,495,496],{},[21,497,498],{},"invalid JWT: unable to parse or verify signature, …",[477,500,501,502],{},"403 ",[21,503,75],{},[477,505,506],{},"Il timbro è sbagliato: un token rovinato, uno di un altro progetto o una chiave vecchia.",[459,508,509,514,518],{},[477,510,511],{},[21,512,513],{},"invalid claim: missing sub claim",[477,515,501,516],{},[21,517,75],{},[477,519,520],{},"Il timbro è giusto e la riga del nome è vuota: una chiave API.",[459,522,523,528,533],{},[477,524,525],{},[21,526,527],{},"invalid claim: sub claim must be a UUID",[477,529,530,531],{},"400 ",[21,532,75],{},[477,534,535],{},"Un nome c'è, ma non nella forma di un id utente di Supabase.",[459,537,538,543,548],{},[477,539,540],{},[21,541,542],{},"User from sub claim in JWT does not exist",[477,544,501,545],{},[21,546,547],{},"user_not_found",[477,549,550],{},"Il token nomina un utente che nel frattempo è stato eliminato.",[459,552,553,558,563],{},[477,554,555],{},[21,556,557],{},"Session from session_id claim in JWT does not exist",[477,559,501,560],{},[21,561,562],{},"session_not_found",[477,564,565],{},"Il token è sopravvissuto alla sua sessione, per esempio dopo un'uscita su un altro dispositivo.",[10,567,568,569,571,572,575,576,580,581,301],{},"Ogni riga viene dallo stesso file, ",[21,570,68],{},". La versione che dà il\ntuo database per la riga del timbro sbagliato, ",[21,573,574],{},"PGRST301",", ha\n",[52,577,579],{"href":578},"\u002Fblog\u002Fsupabase-invalid-jwt","un articolo tutto suo",". La riga della sessione va\nletta insieme a\n",[52,582,584],{"href":583},"\u002Fblog\u002Fsupabase-users-logged-out","perché gli utenti di Supabase vengono disconnessi",[37,586,588],{"id":587},"tenere-il-controllo-al-suo-posto-dopo-la-prossima-modifica","Tenere il controllo al suo posto dopo la prossima modifica",[10,590,591,594],{},[32,592,593],{},"Un controllo su chi sta chiamando può sparire la prossima volta che chiedi al\ntuo builder di far sparire un errore",", e i due modi più rapidi per zittire\nquesto sono i due qui sopra.",[10,596,597],{},[32,598,599,603],{},[52,600,602],{"href":601},"\u002Fwebsite-monitoring","Reeve Monitor"," scansiona di nuovo la tua app pubblicata ogni ora:",[284,605,606,609,612,615],{},[287,607,608],{},"tutti e nove i controlli ogni ora, su un massimo di tre app",[287,610,611],{},"una email il giorno in cui una nuova scansione valuta la tua app peggio della precedente; una chiave segreta nel tuo JavaScript limita da sola il voto a D",[287,613,614],{},"se l'app risponde, ogni 60 secondi",[287,616,617],{},"un rapporto mensile di quello che ha visto",[10,619,620],{},[32,621,622,623,627],{},"Una funzione che crede all'id utente che le viene mandato può cambiare le righe\ndi uno qualsiasi dei tuoi utenti per chiunque la chiami.\n",[52,624,626],{"href":625},"\u002Fsupabase-backups","Reeve Care"," tiene una copia del tuo database Supabase di\nprima che succeda.",[284,629,630,633,636,639,642],{},[287,631,632],{},"una copia cifrata secondo una pianificazione, conservata sullo storage di Reeve nell'UE, fuori dal tuo account Supabase",[287,634,635],{},"ogni copia verificata prima di contare, contando le righe di ogni tabella",[287,637,638],{},"un ripristino in un clic che salva quello che c'è adesso prima di sostituirlo",[287,640,641],{},"anche i tuoi file caricati, appena colleghi una credenziale di Storage",[287,643,644],{},"tutto quello che fa Monitor",[37,646,648],{"id":647},"cosa-fare-adesso","Cosa fare adesso",[650,651,652],"key-takeaways",{},[284,653,654,663,669,675,678],{},[287,655,656,657,659,660,662],{},"Apri la richiesta che fallisce nella scheda Network. Se ",[21,658,197],{}," porta lo stesso valore di ",[21,661,300],{},", quando è partita nessuno aveva fatto l'accesso.",[287,664,665,666,668],{},"Chiama le funzioni che hanno bisogno di una persona solo dopo l'accesso, e fai rispondere la funzione 401 quando ",[21,667,91],{}," non trova nessun utente.",[287,670,671,672,674],{},"Sul tuo server, passa a ",[21,673,91],{}," il token di accesso della persona. La chiave del tuo progetto non contiene nessun utente.",[287,676,677],{},"Lascia la chiave segreta dov'è. Neanche lei nomina nessuno, e nella pagina legge e scrive ogni riga.",[287,679,680],{},"Tieni il controllo su chi sta chiamando. Una funzione che prende l'id dell'utente dalla richiesta crede a chiunque.",[10,682,683,684,686,687,690,691,695],{},"Se la tua app mostra ",[21,685,224],{}," mentre questo\nmessaggio è nel log, la funzione sta passando il rifiuto, e\n",[52,688,689],{"href":324},"quell'articolo"," legge la\nrisposta da lì in avanti. La ",[52,692,694],{"href":693},"\u002Fchecklist","checklist di sicurezza in 10 minuti","\ncopre cos'altro un'app appena lanciata tende a lasciare aperto.",{"title":23,"searchDepth":697,"depth":697,"links":698},3,[699,701,702,703,704,705,706,707,708],{"id":39,"depth":700,"text":40},2,{"id":105,"depth":700,"text":106},{"id":184,"depth":700,"text":185},{"id":267,"depth":700,"text":268},{"id":347,"depth":700,"text":348},{"id":405,"depth":700,"text":406},{"id":447,"depth":700,"text":448},{"id":587,"depth":700,"text":588},{"id":647,"depth":700,"text":648},"Basi della sicurezza","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcover-1200x630.png","Un badge appeso a un laccio, con un sigillo autentico e la riga del nome vuota, davanti a due badge che hanno un nome e un volto.","\"invalid claim: missing sub claim\": Supabase Auth ha ricevuto un token autentico senza alcun utente, la chiave del progetto al posto di una sessione.",false,"md",[716,719,722,725,728],{"q":717,"a":718},"Cosa significa \"invalid claim: missing sub claim\" in Supabase?","Significa che a Supabase Auth è stato chiesto quale utente sta chiamando e gli è stato consegnato un token senza alcun utente dentro. Il token in sé era autentico e ha passato il controllo della firma. Gli mancava il claim sub, il campo che contiene l'id di un utente. Le chiavi API del tuo progetto sono fatte esattamente così, ed è per questo che la causa abituale è una chiave mandata dove va il token di un utente che ha fatto l'accesso.",{"q":720,"a":721},"È la stessa cosa di \"Auth session missing!\"?","No. \"Auth session missing!\" viene da supabase-js nel browser, che non trova nessuna sessione e non manda nemmeno la richiesta. \"invalid claim: missing sub claim\" torna da Supabase Auth, che ha ricevuto una richiesta e ha trovato una chiave dove doveva esserci il token dell'utente. Il primo indica di solito una pagina senza accesso; il secondo, una funzione o un server che ha passato la chiave.",{"q":723,"a":724},"Disattivare Verify JWT risolve?","No. Verify JWT è un controllo che Supabase fa su una Edge Function prima che parta il tuo codice, e questo messaggio arriva dopo, da Supabase Auth, quando il tuo codice chiede chi sta chiamando. Spegnere il controllo della piattaforma fa arrivare al tuo codice anche le richieste senza alcun token, e l'errore resta esattamente dov'era.",{"q":726,"a":727},"Un accesso anonimo causa questo errore?","No. Un accesso anonimo crea un utente vero con un id suo, quindi il suo token porta un claim sub e is_anonymous a true. La chiave anon è un'altra cosa, nonostante il nome simile: una chiave di progetto senza utente dentro, ed è lei a produrre questo messaggio.",{"q":729,"a":730},"Perché alcune pagine dicono 401 e altre 403?","La pagina di troubleshooting di Supabase per questo messaggio ha 401 nel titolo. Il codice attuale di Supabase Auth risponde 403, con il codice di errore bad_jwt. Se il tuo codice decide cosa fare in base al solo stato, controlla anche il codice di errore e il messaggio.","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",[733,513,734,735,736,737,738],"invalid claim missing sub claim supabase","AuthApiError invalid claim missing sub claim","bad_jwt supabase","supabase getuser 403","errore getuser supabase edge function","supabase anon key getuser",{},true,"\"invalid claim: missing sub claim\" in Supabase","\u002Fblog\u002Finvalid-claim-missing-sub-claim","2026-11-04",{"title":5,"description":712},"blog\u002Finvalid-claim-missing-sub-claim",[747,748,749],"\"invalid claim: missing sub claim\" è Supabase Auth che risponde 403 con il codice bad_jwt. Gli hanno chiesto chi sta chiamando, il token ricevuto era autentico e non nominava nessuno.","La pagina di troubleshooting di Supabase indica la causa comune: una chiave API mandata dove va il token di accesso di un utente che ha fatto l'accesso. Una chiave dice quale app chiama e non contiene nessuna persona.","Chiama la funzione solo quando qualcuno ha fatto l'accesso, e falle rispondere 401 quando non c'è nessuno. Mettere al suo posto la chiave segreta non cambia nulla, perché anche quella non nomina nessuno.","-ZLU8I_kJnAXVHqIHnf2miPtAsPtw9G-hWL03fX4Ylw",[752,758,764,770,776,781,782,787,793,799,805,812,818,824,829,835,841,847,853,859,865,871,876,882,888,893,899,905,911,917,923,929,935,941,947,953,958,964,970,976,982,988,994,1000,1006,1012,1017,1023,1029,1035,1041,1047,1053,1059,1065,1071,1077,1083,1089,1095,1101,1107,1113,1119,1124,1130,1136,1142,1148,1154,1160,1166,1172,1178,1184,1190,1196,1202,1208,1214,1220,1226,1232,1238,1243,1249,1255,1261,1266,1272],{"path":753,"title":754,"description":755,"published":756,"category":709,"image":757,"draft":713},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\", spiegato","Supabase \"max client connections reached\": il pooler non ha posto per un altro client. La porta nella tua stringa di connessione decide il limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":759,"title":760,"description":761,"published":762,"category":709,"image":763,"draft":713},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Errore Supabase: \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\": Google è disattivato nel tuo progetto Supabase. Come attivarlo e risolvere redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":765,"title":766,"description":767,"published":768,"category":709,"image":769,"draft":713},"\u002Fblog\u002Fviolates-foreign-key-constraint","Errore Supabase \"violates foreign key constraint\" all'inserimento","Supabase \"insert or update on table violates foreign key constraint\": la tua riga punta a una riga che non c'è. Quale, perché, e la soluzione.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":771,"title":772,"description":773,"published":774,"category":709,"image":775,"draft":713},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Errore Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\": una colonna obbligatoria è arrivata vuota. Da dove viene il null, e la soluzione.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":340,"title":777,"description":778,"published":779,"category":709,"image":780,"draft":713},"Supabase \"Auth session missing!\": dove è finita la sessione","\"Auth session missing!\" è supabase-js che non trova nessuna sessione e non arriva nemmeno a chiedere a Supabase. Dove è finita la sessione, e la correzione.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":742,"title":5,"description":712,"published":743,"category":709,"image":731,"draft":713},{"path":372,"title":783,"description":784,"published":785,"category":709,"image":786,"draft":713},"\"Failed to send a request to the Edge Function\": la causa vera","\"Failed to send a request to the Edge Function\": il browser non ha ricevuto una risposta leggibile. La sua console dice perché e se la tua funzione è partita.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":788,"title":789,"description":790,"published":791,"category":709,"image":792,"draft":713},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Perché i link email di Supabase reindirizzano a localhost:3000","Se Supabase reindirizza a localhost:3000, la Site URL non è mai stata cambiata o il tuo indirizzo manca in Redirect URLs. La soluzione, e il jolly da evitare.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":794,"title":795,"description":796,"published":797,"category":709,"image":798,"draft":713},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" su un link nuovo","Su un link inviato un minuto fa, \"Email link is invalid or has expired\" di Supabase di solito vuol dire che un filtro della posta l'ha usato prima.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":800,"title":801,"description":802,"published":803,"category":709,"image":804,"draft":713},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\", spiegato","Supabase \"canceling statement due to statement timeout\": una query ha superato il limite del suo ruolo, 3 secondi per un visitatore. Guarda la policy RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":806,"title":807,"description":808,"published":809,"category":810,"image":811,"draft":713},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" su Supabase, e cosa porta con sé","\"Database error deleting user\" su Supabase: il tuo database ha rifiutato la cancellazione. La causa è nei log, e la soluzione decide cos'altro sparisce.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":813,"title":814,"description":815,"published":816,"category":709,"image":817,"draft":713},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" su Supabase","Un webhook Stripe in una Edge Function di Supabase dice \"No signatures found matching the expected signature\"? Due cause. Non smettere di verificare.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":819,"title":820,"description":821,"published":822,"category":709,"image":823,"draft":713},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" in Supabase: le tre cause","Supabase dice \"Invalid login credentials\" per una password sbagliata, un'email sconosciuta e un account Google. Come capire quale.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":324,"title":825,"description":826,"published":827,"category":709,"image":828,"draft":713},"\"Edge Function returned a non-2xx status code\": l'errore vero","\"Edge Function returned a non-2xx status code\" vuol dire che la tua funzione Supabase ha risposto con un errore. Ecco dove leggere quello vero.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":830,"title":831,"description":832,"published":833,"category":709,"image":834,"draft":713},"\u002Fblog\u002Fcertificate-not-trusted","Certificato non attendibile: tre cause oltre alla scadenza","Certificato non attendibile anche se la data è giusta? Nomina un altro indirizzo, si è firmato da solo o alla sua catena manca un anello. Come capirlo.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":836,"title":837,"description":838,"published":839,"category":709,"image":840,"draft":713},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\": leggi le virgolette","Supabase \"invalid input syntax for type uuid\": la tua app ha inviato qualcosa che non è un id. Leggi le virgolette, ferma la query, tieni la colonna.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":842,"title":843,"description":844,"published":845,"category":709,"image":846,"draft":713},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\", spiegato","Supabase \"duplicate key value violates unique constraint\": il valore è già preso. Trova la colonna, scegli una correzione, tieni il valore fuori schermo.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":848,"title":849,"description":850,"published":851,"category":709,"image":852,"draft":713},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" quando la tabella c'è","Supabase \"relation does not exist\" o PGRST205: nessuna tabella ha quel nome in quello schema. Quattro controlli, e che cosa apre esporre uno schema.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":854,"title":855,"description":856,"published":857,"category":709,"image":858,"draft":713},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" riporta i nomi degli argomenti inviati dalla tua app. Confrontali con la funzione.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":860,"title":861,"description":862,"published":863,"category":709,"image":864,"draft":713},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" di solito è un nome che non torna. Quattro controlli in ordine e la riga che ricarica.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":866,"title":867,"description":868,"published":869,"category":709,"image":870,"draft":713},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\": due limiti, un solo codice","Supabase \"Email Rate Limit Exceeded\" limita ogni email del tuo progetto: 2 all'ora con il mittente integrato. Cosa conta e come alzarlo.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":583,"title":872,"description":873,"published":874,"category":709,"image":875,"draft":713},"Supabase \"Invalid Refresh Token: Refresh Token Not Found\": 3 cause","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" disconnette i tuoi utenti. Tre cause, e come il log di Auth le distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":877,"title":878,"description":879,"published":880,"category":709,"image":881,"draft":713},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\": tre cause","Supabase \"permission denied for schema public\" indica un grant mancante sullo schema. Cosa lo ha tolto, e la riga che lo rimette.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":883,"title":884,"description":885,"published":886,"category":709,"image":887,"draft":713},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\": le tre cose che può voler dire","Supabase \"Bucket not found\" è una di tre cose: un link pubblico a un bucket privato, un nome non esattamente uguale o il progetto sbagliato.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":578,"title":889,"description":890,"published":891,"category":709,"image":892,"draft":713},"Supabase invalid JWT: quale chiave ha smesso di funzionare?","Un errore Supabase invalid JWT è PGRST301: un token firmato non ha superato la verifica. Su un progetto recente riguarda la sessione, non la chiave API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":894,"title":895,"description":896,"published":897,"category":709,"image":898,"draft":713},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" quasi sempre è nessuna","Supabase restituisce PGRST116, \"JSON object requested, multiple (or no) rows returned\", quando la query non ha trovato nulla. Una riga nascosta sembra assente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":900,"title":901,"description":902,"published":903,"category":709,"image":904,"draft":713},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" su Supabase: dove guardare","\"Database error saving new user\" vuol dire che qualcosa attaccato alla registrazione Supabase è fallito. L'errore vero sta nei tuoi log.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":906,"title":907,"description":908,"published":909,"category":709,"image":910,"draft":713},"\u002Fblog\u002Fwhat-is-supabase","Cos'è Supabase? Il database che ha scelto il tuo builder","Cos'è Supabase: il database, il login e l'archivio file dietro la tua app. Supabase manda avanti i server; le regole su chi legge le tue righe sono tue.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":912,"title":913,"description":914,"published":915,"category":709,"image":916,"draft":713},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Una chiave AWS esposta nel frontend non è come una chiave OpenAI","Una chiave di accesso AWS esposta nel tuo frontend legge e scrive il tuo storage. La soluzione di solito è una presigned URL, non una chiave nuova.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":918,"title":919,"description":920,"published":921,"category":709,"image":922,"draft":713},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" in upload","\"New row violates row-level security policy for table objects\" vuol dire che al tuo upload manca una regola insert. Rendere pubblico il bucket non ne aggiunge.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":924,"title":925,"description":926,"published":927,"category":709,"image":928,"draft":713},"\u002Fblog\u002Fbase44-security-scan","Scansione di sicurezza Base44: ciò che vede solo lei","La scansione di sicurezza Base44 controlla sette tipi di problema dall’interno. Ecco la metà che legge e che nessun altro legge, e quella che non guarda mai.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":930,"title":931,"description":932,"published":933,"category":709,"image":934,"draft":713},"\u002Fblog\u002Fapi-key-leaked-what-to-do","La tua chiave API è trapelata. L'ordine in cui muoverti","Una chiave API è trapelata e non sai da cosa cominciare. Non tutte le chiavi nel frontend lo sono, e l'ordine conta più della velocità.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":936,"title":937,"description":938,"published":939,"category":709,"image":940,"draft":713},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" senza disattivare RLS","\"Infinite recursion detected in policy for relation\" significa che la tua policy ha interrogato la tabella che protegge. Ecco come rompere il cerchio.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":942,"title":943,"description":944,"published":945,"category":709,"image":946,"draft":713},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" su Supabase, e la correzione sbagliata","\"No API key found in request\" significa che la tua richiesta è arrivata a Supabase senza chiave. Quasi tutte le risposte indicano le regole del database.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":948,"title":949,"description":950,"published":951,"category":709,"image":952,"draft":713},"\u002Fblog\u002Fis-base44-safe","Base44 è sicuro? Cosa abbiamo trovato in 5.442 app","Base44 è sicuro? Abbiamo passato nove controlli su 5.442 app Base44 online. Quasi tutte hanno preso B, per motivi che il proprietario non ha mai scelto.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":208,"title":954,"description":955,"published":956,"category":709,"image":957,"draft":713},"Nascondere una chiave API: spostala in una Edge Function Supabase","Nascondere una chiave API vuol dire toglierla dal browser, e una Edge Function Supabase è il posto più piccolo dove metterla. Due passaggi contano di più.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":959,"title":960,"description":961,"published":962,"category":709,"image":963,"draft":713},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Il tuo file .env è esposto? I dodici percorsi da provare","Il tuo file .env è esposto sul tuo server web? Dodici indirizzi te lo dicono, e una risposta significa che tutto quello che contiene è già pubblico.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":965,"title":966,"description":967,"published":968,"category":709,"image":969,"draft":713},"\u002Fblog\u002Fis-v0-safe","Sicurezza di v0: tutte le 1.790 app v0 analizzate hanno preso A","La sicurezza di v0 misurata su 1.790 app v0 online: tutte hanno preso A. Solo 17 nominavano un database, ed è soprattutto questo che misura quella A.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":971,"title":972,"description":973,"published":974,"category":709,"image":975,"draft":713},"\u002Fblog\u002Fis-bolt-safe","Bolt è sicuro? Cosa abbiamo trovato in 1.123 app Bolt","Bolt è sicuro? Abbiamo passato 1.123 app Bolt online per nove controlli. L’hosting era pulito. I rilievi erano chiavi e tabelle aperte dentro le app.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":977,"title":978,"description":979,"published":980,"category":709,"image":981,"draft":713},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase è down o è la tua app? Come capirlo","Supabase è down o è la tua app? Un progetto in pausa, un database pieno e un tuo errore sembrano la stessa cosa. Quattro controlli li separano.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":983,"title":984,"description":985,"published":986,"category":709,"image":987,"draft":713},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase crittografa i miei dati? Sì. Ecco da cosa protegge","Supabase crittografa i dati? Sì: AES-256 a riposo, TLS in transito, SOC 2 e ISO 27001. Cosa copre ciascuno, e la fuga di dati che nessuno di questi ferma.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":989,"title":990,"description":991,"published":992,"category":709,"image":993,"draft":713},"\u002Fblog\u002Fsupabase-free-plan-limits","Supabase: prezzi e limiti del piano gratuito, uno per uno","Prezzi e limiti del piano gratuito di Supabase: 500 MB di database, 5 GB di egress e nessun backup. Cosa succede a ogni soglia e cosa cambia Pro a $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":995,"title":996,"description":997,"published":998,"category":810,"image":999,"draft":713},"\u002Fblog\u002Ftest-your-supabase-backup","Testa il tuo backup di Supabase prima del giorno in cui serve","Come testare il tuo backup di Supabase: ripristinarlo in un progetto di prova, contare le righe, accedere e cercare la riga che manca a un file troncato.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":1001,"title":1002,"description":1003,"published":1004,"category":810,"image":1005,"draft":713},"\u002Fblog\u002Fsupabase-backup-github-action","Backup gratis di Supabase con una GitHub Action, e il tranello","Un backup di Supabase con una GitHub Action è gratis e va bene per molte app. Il workflow, la connection string giusta e l'egress di ogni esecuzione.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":1007,"title":1008,"description":1009,"published":1010,"category":810,"image":1011,"draft":713},"\u002Fblog\u002Fdownload-your-supabase-backup","Perché non puoi scaricare il tuo backup di Supabase","Non puoi scaricare il tuo backup di Supabase su un progetto recente, perché la copia giornaliera è uno snapshot fisico. Come verificarlo e tenere una copia tua.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":1013,"title":1014,"description":1015,"published":1010,"category":709,"image":1016,"draft":713},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\": il grant mancante","Dal 30 ottobre una nuova tabella di Supabase risponde \"permission denied for table\" finché non concedi l'accesso. Il grant della mail è metà della soluzione.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":1018,"title":1019,"description":1020,"published":1021,"category":709,"image":1022,"draft":713},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint API aperto è un problema di sicurezza? Leggi il JSON","La tua scansione ha segnalato un endpoint API aperto. Quanto conti dipende da che cosa è tornato, e la maggior parte di quelli trovati era della piattaforma.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":1024,"title":1025,"description":1026,"published":1027,"category":709,"image":1028,"draft":713},"\u002Fblog\u002Flovable-security-scan","Scansione di sicurezza Lovable: cosa non può dimostrare","Scansione di sicurezza Lovable: cosa controllano Quick scan e Deep scan, quando parte ciascuno, e l’unica cosa che nessuna scansione dall’interno dimostra.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":1030,"title":1031,"description":1032,"published":1033,"category":810,"image":1034,"draft":713},"\u002Fblog\u002Fsupabase-backup-auth-users","Perché nel tuo dump Supabase non ci sono utenti","Lancia supabase db dump da solo e ottieni la forma del tuo database e nessuna delle sue righe, senza lo schema auth in cui vivono i tuoi utenti.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":1036,"title":1037,"description":1038,"published":1039,"category":709,"image":1040,"draft":713},"\u002Fblog\u002Fdomain-and-certificate-expiry","Dominio scaduto, sito offline: cosa succede adesso","Il tuo dominio è scaduto e il sito è offline. Il conto alla rovescia che parte, perché il certificato è il problema minore, e come controllarli entrambi.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":1042,"title":1043,"description":1044,"published":1045,"category":709,"image":1046,"draft":713},"\u002Fblog\u002Fis-lovable-safe","Lovable è sicuro? Cosa abbiamo trovato in 18.554 app Lovable","Lovable è sicuro? Abbiamo passato 18.554 app Lovable online per nove controlli. La piattaforma è risultata la più pulita di cinque. I rilievi stavano nelle app.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":1048,"title":1049,"description":1050,"published":1051,"category":709,"image":1052,"draft":713},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist di sicurezza del vibe coding, in nove controlli","Una checklist di sicurezza del vibe coding in nove voci, ognuna verificabile dall’esterno sulla tua app dal vivo, e ognuna con un test di una riga.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":1054,"title":1055,"description":1056,"published":1057,"category":709,"image":1058,"draft":713},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Una chiave segreta Stripe nel frontend può muovere denaro","Una chiave segreta Stripe esposta nel tuo frontend può rimborsare, addebitare e leggere ogni scheda cliente che hai. La tua chiave pk_live_ ci sta bene.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":1060,"title":1061,"description":1062,"published":1063,"category":709,"image":1064,"draft":713},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica","Variabili d’ambiente Vite esposte: la tua app ha fatto ciò che il prefisso chiedeva. VITE_ e NEXT_PUBLIC_ vogliono dire pubblica, e l’IA non sapeva il costo.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":1066,"title":1067,"description":1068,"published":1069,"category":709,"image":1070,"draft":713},"\u002Fblog\u002Fbase44-source-maps","Sicurezza Base44: cosa segnala uno scan e cosa tocca a te sistemare","Sicurezza Base44 su 5.438 app scansionate: tre segnalazioni su quasi tutte sono della piattaforma, la source map è il badge di Base44, la tua parte è corta.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":1072,"title":1073,"description":1074,"published":1075,"category":709,"image":1076,"draft":713},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI è sicuro? L’editor, il codice e l’app che hai pubblicato","Cursor AI è sicuro? Tre domande in una ricerca: cosa tiene Cursor, cosa sbaglia il codice che scrive, e se l’app che hai pubblicato è aperta.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":1078,"title":1079,"description":1080,"published":1081,"category":709,"image":1082,"draft":713},"\u002Fblog\u002Fis-replit-safe","Replit è sicuro? Cosa abbiamo trovato in 3.042 app Replit online","Replit è sicuro? Abbiamo passato 3.042 app Replit online per nove controlli esterni. I rilievi stavano nell’app pubblicata, non nell’host.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":1084,"title":1085,"description":1086,"published":1087,"category":810,"image":1088,"draft":713},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup: la copia del database non ha nessun file","Un Supabase storage backup è un lavoro a parte. I backup del database tengono la lista dei tuoi file e nessuno dei file, quindi ogni upload resta rotto.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":1090,"title":1091,"description":1092,"published":1093,"category":810,"image":1094,"draft":713},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery di Supabase: prezzo e limiti","Il point-in-time recovery di Supabase riavvolge il database a qualsiasi secondo della settimana scorsa. $100 al mese oltre a Pro, e copre solo il database.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":1096,"title":1097,"description":1098,"published":1099,"category":810,"image":1100,"draft":713},"\u002Fblog\u002Fsupabase-project-paused-recover","Progetto Supabase in pausa? I tuoi dati sono ancora lì","Supabase ha messo in pausa il tuo progetto dopo una settimana senza attività. Non è cancellato niente, Ripristina è accanto al nome e hai un anno di tempo.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":1102,"title":1103,"description":1104,"published":1105,"category":709,"image":1106,"draft":713},"\u002Fblog\u002Fsafest-ai-app-builder","Qual è il builder di app con IA più sicuro? 30.998 app testate","Qual è il builder di app con IA più sicuro? Abbiamo scansionato 30.998 app online di Lovable, Base44, Replit, v0 e Bolt. Non è il builder a decidere il voto.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":1108,"title":1109,"description":1110,"published":1111,"category":709,"image":1112,"draft":713},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Attiva Row Level Security su ogni tabella Supabase, poi verificalo","Attivare Row Level Security su Supabase senza una policy chiude del tutto la tabella. Una policy senza il flag non fa nulla. Ecco lo SQL, e la verifica.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":1114,"title":1115,"description":1116,"published":1117,"category":709,"image":1118,"draft":713},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\": cosa non vede l'avviso","Supabase segnala \"RLS disabled in public\" come errore. Non dice nulla della policy di lettura che lascia la tua tabella altrettanto aperta.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":426,"title":1120,"description":1121,"published":1122,"category":709,"image":1123,"draft":713},"Come ruotare una chiave service_role Supabase trapelata","Supabase dice di chiudere prima la falla. Altre guide dicono di ruotare subito. Quale sia giusto dipende da dove è finita la tua chiave service_role.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":1125,"title":1126,"description":1127,"published":1128,"category":709,"image":1129,"draft":713},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanner di sicurezza per vibe coding a confronto, il nostro incluso","Il miglior scanner di sicurezza per vibe coding dipende da tre domande che nessun elenco di funzioni affronta. Otto strumenti a confronto, con i prezzi.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":1131,"title":1132,"description":1133,"published":1134,"category":709,"image":1135,"draft":713},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker: i cinque controlli da fare da soli","Un Supabase security checker legge la tua app pubblicata invece delle impostazioni del progetto. Ecco i cinque controlli che esegue e come farli da solo.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":1137,"title":1138,"description":1139,"published":1140,"category":709,"image":1141,"draft":713},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner di sicurezza per vibe coding: cosa si perde","Uno scanner di sicurezza per vibe coding legge la tua app dal vivo, da fuori. Cosa copre, le quattro cose che non può vedere e come leggere il risultato.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":1143,"title":1144,"description":1145,"published":1146,"category":709,"image":1147,"draft":713},"\u002Fblog\u002Fmissing-security-headers","Intestazioni di sicurezza mancanti: quando contano","Le intestazioni di sicurezza mancanti sono il rilievo che il nostro scanner stampa più spesso. Da cosa proteggono e quando sono la riga meno urgente.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1149,"title":1150,"description":1151,"published":1152,"category":709,"image":1153,"draft":713},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","La tua chiave API OpenAI è esposta nel frontend. Ruotala.","Una chiave API OpenAI esposta nel frontend non si può legare a nessun dominio. Ruotala oggi, sposta la chiamata sul tuo server e metti un tetto di spesa.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1155,"title":1156,"description":1157,"published":1158,"category":709,"image":1159,"draft":713},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Chiave API esposta nel frontend: cosa spediscono 30.998 app","Una chiave API esposta nel tuo frontend è quasi sempre una chiave di Google Maps. Abbiamo scansionato 30.998 app vibe-coded e contato cosa esce davvero.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1161,"title":1162,"description":1163,"published":1164,"category":810,"image":1165,"draft":713},"\u002Fblog\u002Fsupabase-backup-tools-compared","Strumenti di backup Supabase a confronto, il nostro incluso","Quattro tipi di strumento di backup Supabase, cosa copia davvero ognuno, e il caso in cui una GitHub Action gratuita batte il pagare chiunque, noi inclusi.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1167,"title":1168,"description":1169,"published":1170,"category":709,"image":1171,"draft":713},"\u002Fblog\u002Freplit-secrets-explained","Come usare i secret su Replit, e cosa viene comunque pubblicato","Come usare i secret su Replit: aggiungerne uno, rileggerlo e risolvere le due cause dell'undefined. E le chiavi che lo strumento non riesce a proteggere.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1173,"title":1174,"description":1175,"published":1176,"category":810,"image":1177,"draft":713},"\u002Fblog\u002Fback-up-supabase-free-tier","Backup del piano gratuito Supabase: farne uno senza terminale","Sul piano gratuito Supabase non esistono backup: la copia la fai tu. Come farne uno dalla dashboard e che cosa si lascia dietro la via del CSV.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1179,"title":1180,"description":1181,"published":1182,"category":709,"image":1183,"draft":713},"\u002Fblog\u002Fis-supabase-secure","Supabase è sicuro? Sì. Il tuo progetto è un'altra questione","Supabase è sicuro? La piattaforma è certificata, cifrata e sottoposta a pentest. La loro documentazione dice dove finisce quello e iniziano le tue impostazioni.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1185,"title":1186,"description":1187,"published":1188,"category":709,"image":1189,"draft":713},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Dove trovare le chiavi API di Supabase: anon, service_role e URL","L'URL del progetto, la chiave anon e la chiave service_role stanno su una pagina della dashboard. Ecco dove si trova e quale dei quattro va nella tua app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1191,"title":1192,"description":1193,"published":1194,"category":709,"image":1195,"draft":713},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy su Supabase. E adesso?","\"New row violates row-level security policy\" significa che Supabase ha rifiutato una scrittura. La soluzione veloce riapre la tabella a chiunque.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1197,"title":1198,"description":1199,"published":1200,"category":709,"image":1201,"draft":713},"\u002Fblog\u002Fcors-wildcard-security-risk","Un wildcard CORS è un rischio di sicurezza? Quasi mai.","Un wildcard CORS è un rischio di sicurezza? Di solito è il valore predefinito del tuo builder e non consegna nulla che il tuo server non desse già a chiunque.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1203,"title":1204,"description":1205,"published":1206,"category":810,"image":1207,"draft":713},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Il branching di Supabase non è un backup. Va solo in avanti.","Perché il branching di Supabase non è un backup: un branch parte senza i tuoi dati e un merge sposta solo lo schema. A cosa serve davvero e cosa usare invece.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1209,"title":1210,"description":1211,"published":1212,"category":810,"image":1213,"draft":713},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Come ripristinare un backup Supabase, e cosa si rompe dopo","Come ripristinare un backup Supabase dalla dashboard o da un file di dump, che cosa sostituisce il ripristino e perché la tua app può restare rotta lo stesso.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1215,"title":1216,"description":1217,"published":1218,"category":709,"image":1219,"draft":713},"\u002Fblog\u002Fsupabase-storage-bucket-public","Il tuo bucket Supabase Storage è pubblico. È un problema?","Un bucket Supabase Storage pubblico significa che chi ha l'URL di un file può aprirlo. Non significa che qualcuno possa elencare quello che c'è dentro.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1221,"title":1222,"description":1223,"published":1224,"category":709,"image":1225,"draft":713},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Una chiave API Google nel frontend è un problema?","Una chiave API Google esposta nel frontend è la chiave che il nostro scanner trova più spesso, e di solito va bene così. Lo decide una impostazione gratuita.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1227,"title":1228,"description":1229,"published":1230,"category":810,"image":1231,"draft":713},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agente IA ha cancellato i miei dati Supabase. Cosa recupero?","Un agente IA ha cancellato dati dal tuo database. Quello che puoi recuperare era già deciso prima che partisse, e i prossimi minuti decidono il resto.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1233,"title":1234,"description":1235,"published":1236,"category":709,"image":1237,"draft":713},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Chiunque può leggere il tuo database Supabase? 3.680 app testate","Chiunque può leggere il tuo database Supabase senza fare login? Abbiamo scansionato 30.998 app online create con i builder IA e misurato quante rispondono sì.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1239,"title":1240,"description":1241,"published":1236,"category":709,"image":1242,"draft":713},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source map esposte: la tua app sta pubblicando il codice originale","Una source map esposta permette a chiunque di leggere il codice originale della tua app, commenti inclusi. Il controllo da 30 secondi e cosa conta davvero.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1244,"title":1245,"description":1246,"published":1247,"category":709,"image":1248,"draft":713},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key: è la stessa della anon key?","Supabase ha sostituito anon e service_role con chiavi pubblicabili e segrete. Quale sta bene nella tua app, e quale non deve starci mai?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1250,"title":1251,"description":1252,"published":1253,"category":810,"image":1254,"draft":713},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase fa il backup del mio database? Dipende dal tuo piano.","Supabase fa il backup del tuo database? Ogni giorno sui piani a pagamento, mai su quello gratuito. Come capire cosa hai e cosa quella copia non copre.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1256,"title":1257,"description":1258,"published":1259,"category":709,"image":1260,"draft":713},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security è attivo. La tabella resta pubblica.","Attivare Supabase Row Level Security non protegge una tabella. Lo fanno le policy, e quella che ha rimesso in piedi la tua app può far entrare chiunque.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1262,"title":1263,"description":1264,"published":1259,"category":810,"image":1265,"draft":713},"\u002Fblog\u002Fversion-history-is-not-a-backup","La cronologia delle versioni non è un backup dei tuoi dati.","Lovable e Bolt tengono una cronologia delle versioni del codice. Il tuo database è un servizio a parte, e tornare indietro non ti restituisce i dati.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1267,"title":1268,"description":1269,"published":1270,"category":810,"image":1271,"draft":713},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Tre modi per fare il backup di un database Supabase, e cosa manca","Il pannello, pg_dump e un servizio gestito. Che cosa salva davvero ciascuno, cosa lascia fuori senza dirlo e quale sopravvive alla perdita dell'account.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":179,"title":1273,"description":1274,"published":1270,"category":709,"image":1275,"draft":713},"Quali chiavi API sono sicure nel browser e quali no","La tua chiave anon di Supabase è fatta per essere pubblica. La chiave service_role no, e ignora ogni regola che imposti. Come distinguerle.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213651565]