[{"data":1,"prerenderedAt":1127},["ShallowReactive",2],{"blog-it-stripe-webhook-no-signatures-found":3,"blog-index-it":597},{"id":4,"title":5,"body":6,"category":554,"cover":555,"coverAlt":556,"description":557,"draft":558,"extension":559,"faq":560,"image":576,"keywords":577,"meta":585,"navigation":586,"ogTitle":587,"path":588,"published":589,"seo":590,"stem":591,"tldr":592,"updated":589,"__hash__":596},"blog_it\u002Fblog\u002Fstripe-webhook-no-signatures-found.md","\"No signatures found matching the expected signature\" su Supabase",{"type":7,"value":8,"toc":542},"minimark",[9,13,24,32,37,40,47,68,71,75,78,84,95,104,110,117,123,126,130,133,136,179,205,208,213,217,225,310,317,321,324,344,350,364,367,371,374,388,395,398,418,430,434,440,449,463,473,490,494,529],[10,11,12],"p",{},"Hai collegato Stripe alla tua app, un pagamento di prova è andato a buon fine, e\nil webhook che doveva segnare l'ordine come pagato non ha fatto niente. La\ndashboard di Stripe mostra la consegna fallita, e i log della tua Edge Function\ndi Supabase dicono questo:",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","No signatures found matching the expected signature for payload.\nAre you passing the raw request body you received from Stripe?\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26,27,31],{},"La buona notizia sta nell'origine dell'errore. Lo lancia la parte della tua\nfunzione che controlla che la richiesta arrivi davvero da Stripe, il che vuol\ndire che quel controllo esiste e sta facendo il suo lavoro. ",[28,29,30],"strong",{},"\"No signatures\nfound matching the expected signature for payload\" ha due cause, e nessuna si\nrisolve controllando di meno."," La soluzione che compare per prima quando la si\ncerca, avvolgere il controllo in modo che l'errore venga ignorato, è quella che\npermette a chiunque di segnare un ordine come pagato.",[33,34,36],"h2",{"id":35},"che-cosa-vuol-dire-no-signatures-found-matching-the-expected-signature","Che cosa vuol dire \"No signatures found matching the expected signature\"?",[10,38,39],{},"La tua funzione ha controllato la firma di Stripe sulla richiesta, e non\ncorrispondeva.",[10,41,42,43,46],{},"Immagina ogni webhook di Stripe come una lettera chiusa con un sigillo di\nceralacca. Stripe preme il sigillo con un timbro che avete solo Stripe e tu: il\nsigning secret del tuo endpoint, un valore che inizia con ",[21,44,45],{},"whsec_",". Quando la\nlettera arriva, la tua funzione preme la sua copia del timbro contro la cera. Se\ni disegni combaciano, la lettera è di Stripe e nessuno l'ha toccata lungo la\nstrada.",[10,48,49,50,53,54,61,62,67],{},"Il sigillo copre la lettera esattamente com'è stata scritta. La libreria di\nStripe prende il testo della richiesta, l'ora dall'header ",[21,51,52],{},"Stripe-Signature"," e\nil tuo secret, calcola come dovrebbe essere la firma e la cerca in quell'header.\nIl messaggio qui sopra è scritto\n",[55,56,60],"a",{"href":57,"rel":58},"https:\u002F\u002Fgithub.com\u002Fstripe\u002Fstripe-node\u002Fblob\u002Fmaster\u002Fsrc\u002FWebhooks.ts",[59],"nofollow","nello stesso stripe-node",",\ned è quello che lancia quando lì non corrisponde niente. La\n",[55,63,66],{"href":64,"rel":65},"https:\u002F\u002Fdocs.stripe.com\u002Fwebhooks\u002Fsignature",[59],"pagina di Stripe sugli errori di firma","\nlo dice chiaramente: almeno uno dei tre valori che hai passato è sbagliato.",[10,69,70],{},"Quindi i posti dove guardare sono due. O la lettera è stata cambiata prima che\nla tua funzione controllasse il sigillo, o la tua funzione ha in mano il timbro\nsbagliato.",[33,72,74],{"id":73},"causa-1-il-corpo-è-stato-cambiato-prima-del-controllo","Causa 1: il corpo è stato cambiato prima del controllo",[10,76,77],{},"In una Edge Function la versione più comune è un corpo letto prima come JSON e\npoi ritrasformato in testo per il controllo.",[14,79,82],{"className":80,"code":81,"language":19},[17],"const event = await req.json()\nawait stripe.webhooks.constructEventAsync(JSON.stringify(event), signature, secret, undefined, cryptoProvider)\n",[21,83,81],{"__ignoreMap":23},[10,85,86,87,90,91,94],{},"Si legge in modo naturale e fallisce ogni volta. ",[21,88,89],{},"req.json()"," tiene i dati e\nbutta il testo: gli spazi, gli a capo, l'ordine in cui Stripe ha scritto le\ncose. ",[21,92,93],{},"JSON.stringify"," scrive poi un testo nuovo con gli stessi dati dentro. Il\nsigillo è stato premuto sul testo di Stripe, e questa è la copia di qualcun\naltro con un'altra calligrafia, quindi non può mai combaciare.",[10,96,97,98,103],{},"L'",[55,99,102],{"href":100,"rel":101},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fsupabase\u002Fblob\u002Fmaster\u002Fexamples\u002Fedge-functions\u002Fsupabase\u002Ffunctions\u002Fstripe-webhooks\u002Findex.ts",[59],"esempio di webhook Stripe di Supabase","\nfa diversamente: legge il corpo una volta sola, come testo, e passa quella\nstringa senza toccarla.",[14,105,108],{"className":106,"code":107,"language":19},[17],"const signature = req.headers.get('Stripe-Signature')\nconst body = await req.text()\nconst event = await stripe.webhooks.constructEventAsync(\n  body,\n  signature,\n  Deno.env.get('STRIPE_WEBHOOK_SIGNING_SECRET'),\n  undefined,\n  cryptoProvider,\n)\n",[21,109,107],{"__ignoreMap":23},[10,111,112,113,116],{},"Il commento in quell'esempio spiega perché: la verifica si basa sul corpo grezzo\ndella richiesta e non sul JSON già interpretato. Non devi interpretare niente tu\ndopo, perché ",[21,114,115],{},"constructEventAsync"," restituisce l'evento già interpretato appena\nil sigillo torna.",[118,119],"diagram",{"alt":120,"caption":121,"src":122},"Due copie dello stesso corpo di webhook, una accanto all'altra. Quella a sinistra è il testo esattamente come è arrivato, e il suo sigillo combacia con il timbro, con una spunta. Quella a destra contiene gli stessi valori riscritti su altre righe, e lo stesso timbro non combacia più, barrato in giallo.","La firma copre il testo che Stripe ha inviato, non i dati che contiene. Un testo riscritto con dati identici non passa il controllo.","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fsame-data-other-text-1600x720.png",[10,124,125],{},"Lo stesso succede fuori dal tuo codice. La pagina di Stripe nomina framework\nche interpretano o riformattano un corpo prima che il tuo codice lo veda, e il\nmessaggio di stripe-node aggiunge che uno strumento che ti inoltra i webhook\ndeve conservare il corpo esatto, compresi la formattazione del JSON e il tipo di\na capo. Se tra Stripe e la tua funzione c'è un proxy o un servizio di inoltro,\ncontrolla che passi il corpo così come è arrivato.",[33,127,129],{"id":128},"causa-2-il-signing-secret-è-quello-sbagliato","Causa 2: il signing secret è quello sbagliato",[10,131,132],{},"Se il corpo è intatto, è sbagliato il timbro, e la pagina di Stripe dice che è\nla causa più comune di tutte.",[10,134,135],{},"Tre valori diversi possono finire al posto del signing secret, e si somigliano:",[137,138,139,152,165],"ul",{},[140,141,142,145,146,151],"li",{},[28,143,144],{},"Il secret di un altro endpoint."," La\n",[55,147,150],{"href":148,"rel":149},"https:\u002F\u002Fdocs.stripe.com\u002Fwebhooks",[59],"guida ai webhook di Stripe"," dice che ogni\nendpoint riceve il suo secret e che lo stesso indirizzo configurato in\nmodalità test e live ha un secret diverso in ciascuna. Un pagamento live\ncontrollato con il secret dell'endpoint di test fallisce, e lo stesso vale al\ncontrario.",[140,153,154,161,162,164],{},[28,155,156,157,160],{},"Il secret stampato da ",[21,158,159],{},"stripe listen","."," Quando inoltri gli eventi alla tua\nmacchina con lo strumento a riga di comando di Stripe, stampa un secret\n",[21,163,45],{}," suo. Stripe dice che è diverso dal secret dell'endpoint della\ndashboard e che i due vengono confusi. Funziona per gli eventi che lo\nstrumento inoltra, e per nient'altro.",[140,166,167,170,171,174,175,178],{},[28,168,169],{},"La tua chiave API di Stripe."," ",[21,172,173],{},"sk_live_…"," o ",[21,176,177],{},"sk_test_…"," è la chiave con cui\nla tua funzione chiama Stripe. Non è un signing secret, e un controllo fatto\ncon quella non può mai combaciare.",[10,180,181,182,185,186,189,190,193,194,197,198,201,202,160],{},"Per trovare quello giusto, apri l'endpoint nella dashboard di Stripe sotto\n",[28,183,184],{},"Workbench",", poi ",[28,187,188],{},"Webhooks",", e clicca su ",[28,191,192],{},"Reveal secret",". Prima controlla\nin che modalità sei. Poi confrontalo con quello che legge la tua funzione.\nNell'esempio qui sopra è ",[21,195,196],{},"STRIPE_WEBHOOK_SIGNING_SECRET",", impostato nella pagina\n",[28,199,200],{},"Edge Function Secrets"," del tuo progetto Supabase o con\n",[21,203,204],{},"supabase secrets set",[10,206,207],{},"Già che ci sei, guarda un'ultima cosa. Se il valore è stato incollato con uno\nspazio o un a capo alla fine, stripe-node aggiunge una nota allo stesso errore:\n\"The provided signing secret contains whitespace.\" Cancella il valore e\nincollalo di nuovo senza niente dopo.",[118,209],{"alt":210,"caption":211,"src":212},"Una busta sigillata a sinistra e tre timbri a destra, etichettati whsec_, stripe listen e sk_live_. Solo uno dei tre ha lo stesso disegno del sigillo e ha una spunta. Gli altri due, il secret stampato da stripe listen e una chiave API sk_live_, hanno altri disegni e sono barrati in giallo.","Ogni endpoint, ogni modalità e lo strumento a riga di comando firmano con un secret proprio. Solo quello che ha firmato questo evento può controllarlo.","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fwhich-stamp-1600x720.png",[33,214,216],{"id":215},"i-messaggi-che-si-somigliano-e-vogliono-dire-altro","I messaggi che si somigliano e vogliono dire altro",[10,218,219,220,224],{},"stripe-node lancia diversi errori dallo stesso controllo, e ognuno indica un\nproblema diverso. Sono tutti scritti\n",[55,221,223],{"href":57,"rel":222},[59],"nel suo codice dei webhook",":",[226,227,228,241],"table",{},[229,230,231],"thead",{},[232,233,234,238],"tr",{},[235,236,237],"th",{},"Che cosa dicono i tuoi log",[235,239,240],{},"Che cosa è successo",[242,243,244,255,271,284,294],"tbody",{},[232,245,246,252],{},[247,248,249],"td",{},[21,250,251],{},"No signatures found matching the expected signature for payload",[247,253,254],{},"Il corpo è stato cambiato, o il secret è quello sbagliato. Questo articolo.",[232,256,257,262],{},[247,258,259],{},[21,260,261],{},"Webhook payload must be provided as a string or a Buffer",[247,263,264,265,267,268,160],{},"Hai passato l'oggetto interpretato di ",[21,266,89],{},". Passa il testo di ",[21,269,270],{},"req.text()",[232,272,273,278],{},[247,274,275],{},[21,276,277],{},"No stripe-signature header value was provided.",[247,279,280,281,283],{},"La richiesta non aveva l'header ",[21,282,52],{},". Forse non arrivava affatto da Stripe.",[232,285,286,291],{},[247,287,288],{},[21,289,290],{},"Timestamp outside the tolerance zone",[247,292,293],{},"Il sigillo combaciava, ma l'evento è più vecchio del limite. Le librerie di Stripe usano 5 minuti.",[232,295,296,301],{},[247,297,298],{},[21,299,300],{},"SubtleCryptoProvider cannot be used in a synchronous context.",[247,302,303,304,307,308,160],{},"Hai chiamato ",[21,305,306],{},"constructEvent",". Con il provider Web Crypto che serve a Deno, usa ",[21,309,115],{},[10,311,312,313,316],{},"E uno che il tuo codice non lo raggiunge mai. Se la dashboard di Stripe mostra\nla consegna fallita con un ",[28,314,315],{},"401"," e i log della tua funzione sono vuoti, la\npiattaforma di Supabase ha rifiutato la richiesta prima che la tua funzione\npartisse, per un controllo che in un webhook deve essere spento.",[33,318,320],{"id":319},"perché-il-tuo-webhook-ha-bisogno-di-verify_jwt-disattivato","Perché il tuo webhook ha bisogno di verify_jwt disattivato",[10,322,323],{},"Perché Stripe non può dimostrare chi è come fanno gli utenti della tua app, e\ncon il controllo attivo ogni consegna viene rifiutata.",[10,325,326,327,330,331,334,335,340,341,224],{},"Supabase mette davanti a ogni Edge Function un controllo chiamato ",[21,328,329],{},"verify_jwt",",\nattivo per impostazione predefinita. Vuole un token Supabase nell'header\n",[21,332,333],{},"Authorization"," della richiesta, e Stripe non ne ha nessuno da mandare. La\n",[55,336,339],{"href":337,"rel":338},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Ffunctions\u002Ffunction-configuration",[59],"guida alla configurazione delle funzioni","\ndi Supabase usa proprio questo come esempio, dicendo che i webhook di Stripe\ndevono essere raggiungibili pubblicamente, e spegne il controllo per quella sola\nfunzione in ",[21,342,343],{},"supabase\u002Fconfig.toml",[14,345,348],{"className":346,"code":347,"language":19},[17],"[functions.stripe-webhook]\nverify_jwt = false\n",[21,349,347],{"__ignoreMap":23},[10,351,352,353,356,357,360,361,160],{},"Il comando ",[21,354,355],{},"supabase functions deploy"," accetta ",[21,358,359],{},"--no-verify-jwt"," per la stessa\ncosa. L'esempio Stripe di Supabase porta la stessa istruzione in un commento:\nStripe verifica la richiesta tramite la sua firma, quindi fai il deploy con\n",[21,362,363],{},"verify_jwt = false",[10,365,366],{},"Con il controllo della piattaforma spento, ogni richiesta da internet raggiunge\nil tuo codice, e il controllo del sigillo dentro la tua funzione è l'unica cosa\nche distingue le lettere di Stripe da quelle di chiunque altro.",[33,368,370],{"id":369},"perché-non-dovresti-mai-saltare-il-controllo-della-firma","Perché non dovresti mai saltare il controllo della firma",[10,372,373],{},"Perché senza, chiunque può dire alla tua app che un pagamento è andato a buon\nfine.",[10,375,376,377,380,381,384,385,387],{},"L'indirizzo di una funzione di webhook è l'URL del tuo progetto, che chiunque\npuò leggere nel tuo frontend, seguito da ",[21,378,379],{},"\u002Ffunctions\u002Fv1\u002F"," e dal nome della\nfunzione, di solito quello ovvio. L'esempio della guida alla configurazione la\nchiama proprio ",[21,382,383],{},"stripe-webhook",". Con ",[21,386,329],{}," spento, la piattaforma lascia\npassare ogni richiesta fino al tuo codice. Se il tuo codice non controlla più il\nsigillo, crede a ogni lettera che riceve.",[10,389,390,391,394],{},"Quindi un estraneo manda alla tua funzione una richiesta che dice\n",[21,392,393],{},"checkout.session.completed",", con dentro un ordine o un cliente scelto da lui.\nLa tua funzione fa quello che fa con una vera: segna l'ordine come pagato, fa\nsalire di piano l'account, sblocca il download. Nessuno ha pagato. Stripe non ne\nha traccia, perché Stripe non l'ha mai inviata.",[10,396,397],{},"Tre modi di saltare il controllo finiscono tutti lì:",[137,399,400,406,412],{},[140,401,402,405],{},[28,403,404],{},"Cancellarlo"," perché non passava.",[140,407,408,411],{},[28,409,410],{},"Intercettare l'errore e andare avanti",", registrando il fallimento ed\nelaborando comunque l'evento. L'esempio restituisce un 400 dal suo blocco\ncatch, ed è la forma da tenere: una richiesta che non passa il controllo si\nferma lì.",[140,413,414,417],{},[28,415,416],{},"Mettere la tolleranza di tempo a 0."," La guida ai webhook di Stripe dice di\nnon farlo: 0 spegne del tutto il controllo dell'età, così un evento vero che\nqualcuno ha catturato può essere rimandato più tardi.",[10,419,420,421,425,426,160],{},"Una chiave segreta Stripe attiva nel tuo frontend è l'altro modo in cui i\npagamenti vanno storti, ed è quello che possiamo vedere da fuori: ne abbiamo\ntrovata una in\n",[55,422,424],{"href":423},"\u002Fblog\u002Fstripe-secret-key-in-frontend","3 app su 30.998 scansionate",". La nostra\nscansione gratuita legge il JavaScript della tua app pubblicata come farebbe un\nestraneo e nomina ogni chiave che trova, dicendo se è una di quelle che devono\nstare lì. Ci vogliono circa 20 secondi e non serve un account:\n",[55,427,429],{"href":428},"\u002Fsecurity-scanner","scansiona la tua app",[33,431,433],{"id":432},"se-un-pagamento-falso-dovesse-passare","Se un pagamento falso dovesse passare",[10,435,436,439],{},[28,437,438],{},"Un controllo tolto da un prompt non si annuncia."," Un builder a cui chiedi di\nfar tornare a funzionare il webhook è libero di prendere la scorciatoia qui\nsopra, e la tua app continua a funzionare nel frattempo.",[10,441,442],{},[28,443,444,448],{},[55,445,447],{"href":446},"\u002Fwebsite-monitoring","Reeve Monitor"," tiene d'occhio quello che un estraneo può vedere da fuori:",[137,450,451,454,457,460],{},[140,452,453],{},"tutti e nove i controlli ogni ora, su un massimo di tre app",[140,455,456],{},"una email il giorno in cui una nuova scansione valuta la tua app peggio della precedente; una chiave segreta nel tuo JavaScript limita da sola il voto a D",[140,458,459],{},"se l'app risponde, ogni 60 secondi",[140,461,462],{},"un rapporto mensile di quello che ha visto",[10,464,465],{},[28,466,467,468,472],{},"Un evento falso scrive nel tuo database come uno vero.\n",[55,469,471],{"href":470},"\u002Fsupabase-backups","Reeve Care"," tiene una copia del tuo database Supabase di\nprima che succedesse.",[137,474,475,478,481,484,487],{},[140,476,477],{},"una copia cifrata secondo una pianificazione, conservata sullo storage di Reeve nell'UE, fuori dal tuo account Supabase",[140,479,480],{},"ogni copia verificata prima di contare, contando le righe di ogni tabella",[140,482,483],{},"un ripristino in un clic che salva quello che c'è adesso prima di sostituirlo",[140,485,486],{},"anche i tuoi file caricati, appena colleghi una credenziale di Storage",[140,488,489],{},"tutto quello che fa Monitor",[33,491,493],{"id":492},"che-cosa-fare-adesso","Che cosa fare adesso",[495,496,497],"key-takeaways",{},[137,498,499,502,514,520,526],{},[140,500,501],{},"Apri la consegna fallita nella dashboard di Stripe e la scheda Logs della tua funzione, e leggi il messaggio esatto prima di cambiare qualsiasi cosa.",[140,503,504,505,508,509,511,512,160],{},"Leggi il corpo con ",[21,506,507],{},"await req.text()"," e passa quella stringa intatta a ",[21,510,115],{},". Non controllare mai un evento passato da ",[21,513,93],{},[140,515,516,517,519],{},"Copia il secret ",[21,518,45],{}," dell'endpoint da cui Stripe invia, nella modalità giusta, e incollalo in Edge Function Secrets senza niente dopo.",[140,521,522,523,525],{},"Tieni ",[21,524,363],{}," sul webhook, e il controllo della firma come prima cosa che fa la funzione.",[140,527,528],{},"Restituisci un 400 quando il controllo fallisce. Non intercettare mai l'errore per elaborare comunque l'evento.",[10,530,531,532,536,537,541],{},"Il resto di quello che serve a una funzione che custodisce un secret è in\n",[55,533,535],{"href":534},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","spostare un secret in una Edge Function",",\ne se il tuo errore è quello generico di supabase-js,\n",[55,538,540],{"href":539},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","leggere un codice di stato non-2xx","\nspiega dov'è il messaggio vero.",{"title":23,"searchDepth":543,"depth":543,"links":544},3,[545,547,548,549,550,551,552,553],{"id":35,"depth":546,"text":36},2,{"id":73,"depth":546,"text":74},{"id":128,"depth":546,"text":129},{"id":215,"depth":546,"text":216},{"id":319,"depth":546,"text":320},{"id":369,"depth":546,"text":370},{"id":432,"depth":546,"text":433},{"id":492,"depth":546,"text":493},"Basi della sicurezza","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcover-1200x630.png","Una busta chiusa con un sigillo di ceralacca turchese e, accanto, un timbro il cui disegno non combacia con l'impronta, segnato in giallo.","Un webhook Stripe in una Edge Function di Supabase dice \"No signatures found matching the expected signature\"? Due cause. Non smettere di verificare.",false,"md",[561,564,567,570,573],{"q":562,"a":563},"Che cosa vuol dire \"No signatures found matching the expected signature for payload\"?","La tua funzione di webhook ha calcolato la firma che si aspettava dal corpo della richiesta e dal tuo signing secret, e nessuna delle firme nell'header Stripe-Signature corrispondeva. La libreria di Stripe lancia questo errore quando il corpo che riceve non è, byte per byte, quello che Stripe ha inviato, o quando il secret non è quello dell'endpoint che ha inviato l'evento.",{"q":565,"a":566},"Perché fallisce se passo JSON.stringify dell'evento?","Perché la firma copre il testo esatto che Stripe ha inviato, spazi e a capo compresi. Leggere il corpo con req.json() e ritrasformarlo in testo con JSON.stringify ti dà gli stessi dati in un altro testo, e un altro testo ha un'altra firma. Leggi il corpo una volta con await req.text() e passa quella stringa a constructEventAsync.",{"q":568,"a":569},"Quale signing secret uso?","Il secret whsec_ dell'endpoint esatto a cui Stripe consegna. Ogni endpoint ha il suo, lo stesso indirizzo configurato in modalità test e live ha un secret diverso in ciascuna, e il comando stripe listen stampa un secret suo che vale solo per gli eventi che inoltra. La tua chiave API sk_ non è affatto un signing secret.",{"q":571,"a":572},"La mia Edge Function per il webhook Stripe deve avere verify_jwt disattivato?","Sì. Stripe non ha un token Supabase da inviare, quindi con il controllo attivo ogni consegna viene rifiutata con un 401 prima che il tuo codice parta. L'esempio Stripe di Supabase dice di fare il deploy con verify_jwt = false. Così il controllo della firma dentro la tua funzione diventa l'unico controllo che c'è, e non va mai saltato né intercettato e ignorato.",{"q":574,"a":575},"Posso togliere il controllo della firma per far funzionare i pagamenti?","Puoi, e a quel punto chiunque trovi l'indirizzo della funzione può mandarle un evento che dice che un pagamento è andato a buon fine. L'indirizzo è l'URL del tuo progetto, che sta nel tuo frontend, più il nome della funzione. Senza il controllo, la tua funzione crede a ogni richiesta che riceve e concede quello che l'evento dice sia stato pagato.","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",[578,579,580,581,582,583,584],"no signatures found matching the expected signature for payload","stripe webhook supabase edge function","stripe signature verification failed","constructEventAsync deno","stripe webhook raw body","stripe webhook signing secret","supabase stripe webhook 401",{},true,"\"No signatures found matching the expected signature\"","\u002Fblog\u002Fstripe-webhook-no-signatures-found","2026-10-29",{"title":5,"description":557},"blog\u002Fstripe-webhook-no-signatures-found",[593,594,595],"\"No signatures found matching the expected signature for payload\" vuol dire che la tua funzione ha controllato la firma di Stripe e non corrispondeva. O il corpo è stato cambiato prima del controllo, o il signing secret non è quello con cui Stripe ha firmato.","Leggi il corpo con await req.text() e passa quella stringa, intatta, a constructEventAsync. Poi confronta il secret whsec_ della tua funzione con quello dell'endpoint esatto da cui Stripe sta inviando.","Non far sparire l'errore saltando il controllo. Il webhook deve girare con verify_jwt = false, quindi la firma è l'unica cosa che impedisce a un estraneo di dire alla tua app che un pagamento è andato a buon fine.","zMmEYAwsiLTrekeD8bWuIHgt1Mah-AgEAm59MjeJ2L0",[598,604,610,616,622,628,634,640,646,652,658,665,666,672,677,683,689,695,701,707,713,719,725,731,737,743,749,755,761,767,773,779,785,791,797,803,808,814,820,826,832,838,844,850,856,862,867,873,879,885,891,897,903,908,914,920,926,932,938,944,950,956,962,968,974,980,986,992,998,1004,1010,1016,1022,1028,1034,1040,1046,1052,1058,1064,1070,1076,1082,1088,1093,1099,1105,1111,1116,1122],{"path":599,"title":600,"description":601,"published":602,"category":554,"image":603,"draft":558},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\", spiegato","Supabase \"max client connections reached\": il pooler non ha posto per un altro client. La porta nella tua stringa di connessione decide il limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":605,"title":606,"description":607,"published":608,"category":554,"image":609,"draft":558},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Errore Supabase: \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\": Google è disattivato nel tuo progetto Supabase. Come attivarlo e risolvere redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":611,"title":612,"description":613,"published":614,"category":554,"image":615,"draft":558},"\u002Fblog\u002Fviolates-foreign-key-constraint","Errore Supabase \"violates foreign key constraint\" all'inserimento","Supabase \"insert or update on table violates foreign key constraint\": la tua riga punta a una riga che non c'è. Quale, perché, e la soluzione.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":617,"title":618,"description":619,"published":620,"category":554,"image":621,"draft":558},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Errore Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\": una colonna obbligatoria è arrivata vuota. Da dove viene il null, e la soluzione.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":623,"title":624,"description":625,"published":626,"category":554,"image":627,"draft":558},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\": dove è finita la sessione","\"Auth session missing!\" è supabase-js che non trova nessuna sessione e non arriva nemmeno a chiedere a Supabase. Dove è finita la sessione, e la correzione.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":629,"title":630,"description":631,"published":632,"category":554,"image":633,"draft":558},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\": nessun utente connesso","\"invalid claim: missing sub claim\": Supabase Auth ha ricevuto un token autentico senza alcun utente, la chiave del progetto al posto di una sessione.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":635,"title":636,"description":637,"published":638,"category":554,"image":639,"draft":558},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\": la causa vera","\"Failed to send a request to the Edge Function\": il browser non ha ricevuto una risposta leggibile. La sua console dice perché e se la tua funzione è partita.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":641,"title":642,"description":643,"published":644,"category":554,"image":645,"draft":558},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Perché i link email di Supabase reindirizzano a localhost:3000","Se Supabase reindirizza a localhost:3000, la Site URL non è mai stata cambiata o il tuo indirizzo manca in Redirect URLs. La soluzione, e il jolly da evitare.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":647,"title":648,"description":649,"published":650,"category":554,"image":651,"draft":558},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" su un link nuovo","Su un link inviato un minuto fa, \"Email link is invalid or has expired\" di Supabase di solito vuol dire che un filtro della posta l'ha usato prima.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":653,"title":654,"description":655,"published":656,"category":554,"image":657,"draft":558},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\", spiegato","Supabase \"canceling statement due to statement timeout\": una query ha superato il limite del suo ruolo, 3 secondi per un visitatore. Guarda la policy RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":659,"title":660,"description":661,"published":662,"category":663,"image":664,"draft":558},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" su Supabase, e cosa porta con sé","\"Database error deleting user\" su Supabase: il tuo database ha rifiutato la cancellazione. La causa è nei log, e la soluzione decide cos'altro sparisce.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":588,"title":5,"description":557,"published":589,"category":554,"image":576,"draft":558},{"path":667,"title":668,"description":669,"published":670,"category":554,"image":671,"draft":558},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" in Supabase: le tre cause","Supabase dice \"Invalid login credentials\" per una password sbagliata, un'email sconosciuta e un account Google. Come capire quale.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":539,"title":673,"description":674,"published":675,"category":554,"image":676,"draft":558},"\"Edge Function returned a non-2xx status code\": l'errore vero","\"Edge Function returned a non-2xx status code\" vuol dire che la tua funzione Supabase ha risposto con un errore. Ecco dove leggere quello vero.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":678,"title":679,"description":680,"published":681,"category":554,"image":682,"draft":558},"\u002Fblog\u002Fcertificate-not-trusted","Certificato non attendibile: tre cause oltre alla scadenza","Certificato non attendibile anche se la data è giusta? Nomina un altro indirizzo, si è firmato da solo o alla sua catena manca un anello. Come capirlo.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":684,"title":685,"description":686,"published":687,"category":554,"image":688,"draft":558},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\": leggi le virgolette","Supabase \"invalid input syntax for type uuid\": la tua app ha inviato qualcosa che non è un id. Leggi le virgolette, ferma la query, tieni la colonna.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":690,"title":691,"description":692,"published":693,"category":554,"image":694,"draft":558},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\", spiegato","Supabase \"duplicate key value violates unique constraint\": il valore è già preso. Trova la colonna, scegli una correzione, tieni il valore fuori schermo.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":696,"title":697,"description":698,"published":699,"category":554,"image":700,"draft":558},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" quando la tabella c'è","Supabase \"relation does not exist\" o PGRST205: nessuna tabella ha quel nome in quello schema. Quattro controlli, e che cosa apre esporre uno schema.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":702,"title":703,"description":704,"published":705,"category":554,"image":706,"draft":558},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" riporta i nomi degli argomenti inviati dalla tua app. Confrontali con la funzione.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":708,"title":709,"description":710,"published":711,"category":554,"image":712,"draft":558},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" di solito è un nome che non torna. Quattro controlli in ordine e la riga che ricarica.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":714,"title":715,"description":716,"published":717,"category":554,"image":718,"draft":558},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\": due limiti, un solo codice","Supabase \"Email Rate Limit Exceeded\" limita ogni email del tuo progetto: 2 all'ora con il mittente integrato. Cosa conta e come alzarlo.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":720,"title":721,"description":722,"published":723,"category":554,"image":724,"draft":558},"\u002Fblog\u002Fsupabase-users-logged-out","Supabase \"Invalid Refresh Token: Refresh Token Not Found\": 3 cause","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" disconnette i tuoi utenti. Tre cause, e come il log di Auth le distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":726,"title":727,"description":728,"published":729,"category":554,"image":730,"draft":558},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\": tre cause","Supabase \"permission denied for schema public\" indica un grant mancante sullo schema. Cosa lo ha tolto, e la riga che lo rimette.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":732,"title":733,"description":734,"published":735,"category":554,"image":736,"draft":558},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\": le tre cose che può voler dire","Supabase \"Bucket not found\" è una di tre cose: un link pubblico a un bucket privato, un nome non esattamente uguale o il progetto sbagliato.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":738,"title":739,"description":740,"published":741,"category":554,"image":742,"draft":558},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT: quale chiave ha smesso di funzionare?","Un errore Supabase invalid JWT è PGRST301: un token firmato non ha superato la verifica. Su un progetto recente riguarda la sessione, non la chiave API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":744,"title":745,"description":746,"published":747,"category":554,"image":748,"draft":558},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" quasi sempre è nessuna","Supabase restituisce PGRST116, \"JSON object requested, multiple (or no) rows returned\", quando la query non ha trovato nulla. Una riga nascosta sembra assente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":750,"title":751,"description":752,"published":753,"category":554,"image":754,"draft":558},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" su Supabase: dove guardare","\"Database error saving new user\" vuol dire che qualcosa attaccato alla registrazione Supabase è fallito. L'errore vero sta nei tuoi log.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":756,"title":757,"description":758,"published":759,"category":554,"image":760,"draft":558},"\u002Fblog\u002Fwhat-is-supabase","Cos'è Supabase? Il database che ha scelto il tuo builder","Cos'è Supabase: il database, il login e l'archivio file dietro la tua app. Supabase manda avanti i server; le regole su chi legge le tue righe sono tue.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":762,"title":763,"description":764,"published":765,"category":554,"image":766,"draft":558},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Una chiave AWS esposta nel frontend non è come una chiave OpenAI","Una chiave di accesso AWS esposta nel tuo frontend legge e scrive il tuo storage. La soluzione di solito è una presigned URL, non una chiave nuova.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":768,"title":769,"description":770,"published":771,"category":554,"image":772,"draft":558},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" in upload","\"New row violates row-level security policy for table objects\" vuol dire che al tuo upload manca una regola insert. Rendere pubblico il bucket non ne aggiunge.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":774,"title":775,"description":776,"published":777,"category":554,"image":778,"draft":558},"\u002Fblog\u002Fbase44-security-scan","Scansione di sicurezza Base44: ciò che vede solo lei","La scansione di sicurezza Base44 controlla sette tipi di problema dall’interno. Ecco la metà che legge e che nessun altro legge, e quella che non guarda mai.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":780,"title":781,"description":782,"published":783,"category":554,"image":784,"draft":558},"\u002Fblog\u002Fapi-key-leaked-what-to-do","La tua chiave API è trapelata. L'ordine in cui muoverti","Una chiave API è trapelata e non sai da cosa cominciare. Non tutte le chiavi nel frontend lo sono, e l'ordine conta più della velocità.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":786,"title":787,"description":788,"published":789,"category":554,"image":790,"draft":558},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" senza disattivare RLS","\"Infinite recursion detected in policy for relation\" significa che la tua policy ha interrogato la tabella che protegge. Ecco come rompere il cerchio.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":792,"title":793,"description":794,"published":795,"category":554,"image":796,"draft":558},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" su Supabase, e la correzione sbagliata","\"No API key found in request\" significa che la tua richiesta è arrivata a Supabase senza chiave. Quasi tutte le risposte indicano le regole del database.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":798,"title":799,"description":800,"published":801,"category":554,"image":802,"draft":558},"\u002Fblog\u002Fis-base44-safe","Base44 è sicuro? Cosa abbiamo trovato in 5.442 app","Base44 è sicuro? Abbiamo passato nove controlli su 5.442 app Base44 online. Quasi tutte hanno preso B, per motivi che il proprietario non ha mai scelto.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":534,"title":804,"description":805,"published":806,"category":554,"image":807,"draft":558},"Nascondere una chiave API: spostala in una Edge Function Supabase","Nascondere una chiave API vuol dire toglierla dal browser, e una Edge Function Supabase è il posto più piccolo dove metterla. Due passaggi contano di più.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":809,"title":810,"description":811,"published":812,"category":554,"image":813,"draft":558},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Il tuo file .env è esposto? I dodici percorsi da provare","Il tuo file .env è esposto sul tuo server web? Dodici indirizzi te lo dicono, e una risposta significa che tutto quello che contiene è già pubblico.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":815,"title":816,"description":817,"published":818,"category":554,"image":819,"draft":558},"\u002Fblog\u002Fis-v0-safe","Sicurezza di v0: tutte le 1.790 app v0 analizzate hanno preso A","La sicurezza di v0 misurata su 1.790 app v0 online: tutte hanno preso A. Solo 17 nominavano un database, ed è soprattutto questo che misura quella A.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":821,"title":822,"description":823,"published":824,"category":554,"image":825,"draft":558},"\u002Fblog\u002Fis-bolt-safe","Bolt è sicuro? Cosa abbiamo trovato in 1.123 app Bolt","Bolt è sicuro? Abbiamo passato 1.123 app Bolt online per nove controlli. L’hosting era pulito. I rilievi erano chiavi e tabelle aperte dentro le app.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":827,"title":828,"description":829,"published":830,"category":554,"image":831,"draft":558},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase è down o è la tua app? Come capirlo","Supabase è down o è la tua app? Un progetto in pausa, un database pieno e un tuo errore sembrano la stessa cosa. Quattro controlli li separano.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":833,"title":834,"description":835,"published":836,"category":554,"image":837,"draft":558},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase crittografa i miei dati? Sì. Ecco da cosa protegge","Supabase crittografa i dati? Sì: AES-256 a riposo, TLS in transito, SOC 2 e ISO 27001. Cosa copre ciascuno, e la fuga di dati che nessuno di questi ferma.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":839,"title":840,"description":841,"published":842,"category":554,"image":843,"draft":558},"\u002Fblog\u002Fsupabase-free-plan-limits","Supabase: prezzi e limiti del piano gratuito, uno per uno","Prezzi e limiti del piano gratuito di Supabase: 500 MB di database, 5 GB di egress e nessun backup. Cosa succede a ogni soglia e cosa cambia Pro a $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":845,"title":846,"description":847,"published":848,"category":663,"image":849,"draft":558},"\u002Fblog\u002Ftest-your-supabase-backup","Testa il tuo backup di Supabase prima del giorno in cui serve","Come testare il tuo backup di Supabase: ripristinarlo in un progetto di prova, contare le righe, accedere e cercare la riga che manca a un file troncato.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":851,"title":852,"description":853,"published":854,"category":663,"image":855,"draft":558},"\u002Fblog\u002Fsupabase-backup-github-action","Backup gratis di Supabase con una GitHub Action, e il tranello","Un backup di Supabase con una GitHub Action è gratis e va bene per molte app. Il workflow, la connection string giusta e l'egress di ogni esecuzione.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":857,"title":858,"description":859,"published":860,"category":663,"image":861,"draft":558},"\u002Fblog\u002Fdownload-your-supabase-backup","Perché non puoi scaricare il tuo backup di Supabase","Non puoi scaricare il tuo backup di Supabase su un progetto recente, perché la copia giornaliera è uno snapshot fisico. Come verificarlo e tenere una copia tua.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":863,"title":864,"description":865,"published":860,"category":554,"image":866,"draft":558},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\": il grant mancante","Dal 30 ottobre una nuova tabella di Supabase risponde \"permission denied for table\" finché non concedi l'accesso. Il grant della mail è metà della soluzione.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":868,"title":869,"description":870,"published":871,"category":554,"image":872,"draft":558},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint API aperto è un problema di sicurezza? Leggi il JSON","La tua scansione ha segnalato un endpoint API aperto. Quanto conti dipende da che cosa è tornato, e la maggior parte di quelli trovati era della piattaforma.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":874,"title":875,"description":876,"published":877,"category":554,"image":878,"draft":558},"\u002Fblog\u002Flovable-security-scan","Scansione di sicurezza Lovable: cosa non può dimostrare","Scansione di sicurezza Lovable: cosa controllano Quick scan e Deep scan, quando parte ciascuno, e l’unica cosa che nessuna scansione dall’interno dimostra.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":880,"title":881,"description":882,"published":883,"category":663,"image":884,"draft":558},"\u002Fblog\u002Fsupabase-backup-auth-users","Perché nel tuo dump Supabase non ci sono utenti","Lancia supabase db dump da solo e ottieni la forma del tuo database e nessuna delle sue righe, senza lo schema auth in cui vivono i tuoi utenti.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":886,"title":887,"description":888,"published":889,"category":554,"image":890,"draft":558},"\u002Fblog\u002Fdomain-and-certificate-expiry","Dominio scaduto, sito offline: cosa succede adesso","Il tuo dominio è scaduto e il sito è offline. Il conto alla rovescia che parte, perché il certificato è il problema minore, e come controllarli entrambi.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":892,"title":893,"description":894,"published":895,"category":554,"image":896,"draft":558},"\u002Fblog\u002Fis-lovable-safe","Lovable è sicuro? Cosa abbiamo trovato in 18.554 app Lovable","Lovable è sicuro? Abbiamo passato 18.554 app Lovable online per nove controlli. La piattaforma è risultata la più pulita di cinque. I rilievi stavano nelle app.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":898,"title":899,"description":900,"published":901,"category":554,"image":902,"draft":558},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist di sicurezza del vibe coding, in nove controlli","Una checklist di sicurezza del vibe coding in nove voci, ognuna verificabile dall’esterno sulla tua app dal vivo, e ognuna con un test di una riga.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":423,"title":904,"description":905,"published":906,"category":554,"image":907,"draft":558},"Una chiave segreta Stripe nel frontend può muovere denaro","Una chiave segreta Stripe esposta nel tuo frontend può rimborsare, addebitare e leggere ogni scheda cliente che hai. La tua chiave pk_live_ ci sta bene.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":909,"title":910,"description":911,"published":912,"category":554,"image":913,"draft":558},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica","Variabili d’ambiente Vite esposte: la tua app ha fatto ciò che il prefisso chiedeva. VITE_ e NEXT_PUBLIC_ vogliono dire pubblica, e l’IA non sapeva il costo.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":915,"title":916,"description":917,"published":918,"category":554,"image":919,"draft":558},"\u002Fblog\u002Fbase44-source-maps","Sicurezza Base44: cosa segnala uno scan e cosa tocca a te sistemare","Sicurezza Base44 su 5.438 app scansionate: tre segnalazioni su quasi tutte sono della piattaforma, la source map è il badge di Base44, la tua parte è corta.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":921,"title":922,"description":923,"published":924,"category":554,"image":925,"draft":558},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI è sicuro? L’editor, il codice e l’app che hai pubblicato","Cursor AI è sicuro? Tre domande in una ricerca: cosa tiene Cursor, cosa sbaglia il codice che scrive, e se l’app che hai pubblicato è aperta.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":927,"title":928,"description":929,"published":930,"category":554,"image":931,"draft":558},"\u002Fblog\u002Fis-replit-safe","Replit è sicuro? Cosa abbiamo trovato in 3.042 app Replit online","Replit è sicuro? Abbiamo passato 3.042 app Replit online per nove controlli esterni. I rilievi stavano nell’app pubblicata, non nell’host.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":933,"title":934,"description":935,"published":936,"category":663,"image":937,"draft":558},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup: la copia del database non ha nessun file","Un Supabase storage backup è un lavoro a parte. I backup del database tengono la lista dei tuoi file e nessuno dei file, quindi ogni upload resta rotto.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":939,"title":940,"description":941,"published":942,"category":663,"image":943,"draft":558},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery di Supabase: prezzo e limiti","Il point-in-time recovery di Supabase riavvolge il database a qualsiasi secondo della settimana scorsa. $100 al mese oltre a Pro, e copre solo il database.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":945,"title":946,"description":947,"published":948,"category":663,"image":949,"draft":558},"\u002Fblog\u002Fsupabase-project-paused-recover","Progetto Supabase in pausa? I tuoi dati sono ancora lì","Supabase ha messo in pausa il tuo progetto dopo una settimana senza attività. Non è cancellato niente, Ripristina è accanto al nome e hai un anno di tempo.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":951,"title":952,"description":953,"published":954,"category":554,"image":955,"draft":558},"\u002Fblog\u002Fsafest-ai-app-builder","Qual è il builder di app con IA più sicuro? 30.998 app testate","Qual è il builder di app con IA più sicuro? Abbiamo scansionato 30.998 app online di Lovable, Base44, Replit, v0 e Bolt. Non è il builder a decidere il voto.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":957,"title":958,"description":959,"published":960,"category":554,"image":961,"draft":558},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Attiva Row Level Security su ogni tabella Supabase, poi verificalo","Attivare Row Level Security su Supabase senza una policy chiude del tutto la tabella. Una policy senza il flag non fa nulla. Ecco lo SQL, e la verifica.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":963,"title":964,"description":965,"published":966,"category":554,"image":967,"draft":558},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\": cosa non vede l'avviso","Supabase segnala \"RLS disabled in public\" come errore. Non dice nulla della policy di lettura che lascia la tua tabella altrettanto aperta.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":969,"title":970,"description":971,"published":972,"category":554,"image":973,"draft":558},"\u002Fblog\u002Frotate-supabase-service-role-key","Come ruotare una chiave service_role Supabase trapelata","Supabase dice di chiudere prima la falla. Altre guide dicono di ruotare subito. Quale sia giusto dipende da dove è finita la tua chiave service_role.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":975,"title":976,"description":977,"published":978,"category":554,"image":979,"draft":558},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanner di sicurezza per vibe coding a confronto, il nostro incluso","Il miglior scanner di sicurezza per vibe coding dipende da tre domande che nessun elenco di funzioni affronta. Otto strumenti a confronto, con i prezzi.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":981,"title":982,"description":983,"published":984,"category":554,"image":985,"draft":558},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker: i cinque controlli da fare da soli","Un Supabase security checker legge la tua app pubblicata invece delle impostazioni del progetto. Ecco i cinque controlli che esegue e come farli da solo.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":987,"title":988,"description":989,"published":990,"category":554,"image":991,"draft":558},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner di sicurezza per vibe coding: cosa si perde","Uno scanner di sicurezza per vibe coding legge la tua app dal vivo, da fuori. Cosa copre, le quattro cose che non può vedere e come leggere il risultato.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":993,"title":994,"description":995,"published":996,"category":554,"image":997,"draft":558},"\u002Fblog\u002Fmissing-security-headers","Intestazioni di sicurezza mancanti: quando contano","Le intestazioni di sicurezza mancanti sono il rilievo che il nostro scanner stampa più spesso. Da cosa proteggono e quando sono la riga meno urgente.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":999,"title":1000,"description":1001,"published":1002,"category":554,"image":1003,"draft":558},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","La tua chiave API OpenAI è esposta nel frontend. Ruotala.","Una chiave API OpenAI esposta nel frontend non si può legare a nessun dominio. Ruotala oggi, sposta la chiamata sul tuo server e metti un tetto di spesa.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1005,"title":1006,"description":1007,"published":1008,"category":554,"image":1009,"draft":558},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Chiave API esposta nel frontend: cosa spediscono 30.998 app","Una chiave API esposta nel tuo frontend è quasi sempre una chiave di Google Maps. Abbiamo scansionato 30.998 app vibe-coded e contato cosa esce davvero.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1011,"title":1012,"description":1013,"published":1014,"category":663,"image":1015,"draft":558},"\u002Fblog\u002Fsupabase-backup-tools-compared","Strumenti di backup Supabase a confronto, il nostro incluso","Quattro tipi di strumento di backup Supabase, cosa copia davvero ognuno, e il caso in cui una GitHub Action gratuita batte il pagare chiunque, noi inclusi.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1017,"title":1018,"description":1019,"published":1020,"category":554,"image":1021,"draft":558},"\u002Fblog\u002Freplit-secrets-explained","Come usare i secret su Replit, e cosa viene comunque pubblicato","Come usare i secret su Replit: aggiungerne uno, rileggerlo e risolvere le due cause dell'undefined. E le chiavi che lo strumento non riesce a proteggere.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1023,"title":1024,"description":1025,"published":1026,"category":663,"image":1027,"draft":558},"\u002Fblog\u002Fback-up-supabase-free-tier","Backup del piano gratuito Supabase: farne uno senza terminale","Sul piano gratuito Supabase non esistono backup: la copia la fai tu. Come farne uno dalla dashboard e che cosa si lascia dietro la via del CSV.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1029,"title":1030,"description":1031,"published":1032,"category":554,"image":1033,"draft":558},"\u002Fblog\u002Fis-supabase-secure","Supabase è sicuro? Sì. Il tuo progetto è un'altra questione","Supabase è sicuro? La piattaforma è certificata, cifrata e sottoposta a pentest. La loro documentazione dice dove finisce quello e iniziano le tue impostazioni.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1035,"title":1036,"description":1037,"published":1038,"category":554,"image":1039,"draft":558},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Dove trovare le chiavi API di Supabase: anon, service_role e URL","L'URL del progetto, la chiave anon e la chiave service_role stanno su una pagina della dashboard. Ecco dove si trova e quale dei quattro va nella tua app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1041,"title":1042,"description":1043,"published":1044,"category":554,"image":1045,"draft":558},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy su Supabase. E adesso?","\"New row violates row-level security policy\" significa che Supabase ha rifiutato una scrittura. La soluzione veloce riapre la tabella a chiunque.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1047,"title":1048,"description":1049,"published":1050,"category":554,"image":1051,"draft":558},"\u002Fblog\u002Fcors-wildcard-security-risk","Un wildcard CORS è un rischio di sicurezza? Quasi mai.","Un wildcard CORS è un rischio di sicurezza? Di solito è il valore predefinito del tuo builder e non consegna nulla che il tuo server non desse già a chiunque.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1053,"title":1054,"description":1055,"published":1056,"category":663,"image":1057,"draft":558},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Il branching di Supabase non è un backup. Va solo in avanti.","Perché il branching di Supabase non è un backup: un branch parte senza i tuoi dati e un merge sposta solo lo schema. A cosa serve davvero e cosa usare invece.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1059,"title":1060,"description":1061,"published":1062,"category":663,"image":1063,"draft":558},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Come ripristinare un backup Supabase, e cosa si rompe dopo","Come ripristinare un backup Supabase dalla dashboard o da un file di dump, che cosa sostituisce il ripristino e perché la tua app può restare rotta lo stesso.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1065,"title":1066,"description":1067,"published":1068,"category":554,"image":1069,"draft":558},"\u002Fblog\u002Fsupabase-storage-bucket-public","Il tuo bucket Supabase Storage è pubblico. È un problema?","Un bucket Supabase Storage pubblico significa che chi ha l'URL di un file può aprirlo. Non significa che qualcuno possa elencare quello che c'è dentro.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1071,"title":1072,"description":1073,"published":1074,"category":554,"image":1075,"draft":558},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Una chiave API Google nel frontend è un problema?","Una chiave API Google esposta nel frontend è la chiave che il nostro scanner trova più spesso, e di solito va bene così. Lo decide una impostazione gratuita.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1077,"title":1078,"description":1079,"published":1080,"category":663,"image":1081,"draft":558},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agente IA ha cancellato i miei dati Supabase. Cosa recupero?","Un agente IA ha cancellato dati dal tuo database. Quello che puoi recuperare era già deciso prima che partisse, e i prossimi minuti decidono il resto.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1083,"title":1084,"description":1085,"published":1086,"category":554,"image":1087,"draft":558},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Chiunque può leggere il tuo database Supabase? 3.680 app testate","Chiunque può leggere il tuo database Supabase senza fare login? Abbiamo scansionato 30.998 app online create con i builder IA e misurato quante rispondono sì.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1089,"title":1090,"description":1091,"published":1086,"category":554,"image":1092,"draft":558},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source map esposte: la tua app sta pubblicando il codice originale","Una source map esposta permette a chiunque di leggere il codice originale della tua app, commenti inclusi. Il controllo da 30 secondi e cosa conta davvero.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1094,"title":1095,"description":1096,"published":1097,"category":554,"image":1098,"draft":558},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key: è la stessa della anon key?","Supabase ha sostituito anon e service_role con chiavi pubblicabili e segrete. Quale sta bene nella tua app, e quale non deve starci mai?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1100,"title":1101,"description":1102,"published":1103,"category":663,"image":1104,"draft":558},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase fa il backup del mio database? Dipende dal tuo piano.","Supabase fa il backup del tuo database? Ogni giorno sui piani a pagamento, mai su quello gratuito. Come capire cosa hai e cosa quella copia non copre.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1106,"title":1107,"description":1108,"published":1109,"category":554,"image":1110,"draft":558},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security è attivo. La tabella resta pubblica.","Attivare Supabase Row Level Security non protegge una tabella. Lo fanno le policy, e quella che ha rimesso in piedi la tua app può far entrare chiunque.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1112,"title":1113,"description":1114,"published":1109,"category":663,"image":1115,"draft":558},"\u002Fblog\u002Fversion-history-is-not-a-backup","La cronologia delle versioni non è un backup dei tuoi dati.","Lovable e Bolt tengono una cronologia delle versioni del codice. Il tuo database è un servizio a parte, e tornare indietro non ti restituisce i dati.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1117,"title":1118,"description":1119,"published":1120,"category":663,"image":1121,"draft":558},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Tre modi per fare il backup di un database Supabase, e cosa manca","Il pannello, pg_dump e un servizio gestito. Che cosa salva davvero ciascuno, cosa lascia fuori senza dirlo e quale sopravvive alla perdita dell'account.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1123,"title":1124,"description":1125,"published":1120,"category":554,"image":1126,"draft":558},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quali chiavi API sono sicure nel browser e quali no","La tua chiave anon di Supabase è fatta per essere pubblica. La chiave service_role no, e ignora ogni regola che imposti. Come distinguerle.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213651599]