[{"data":1,"prerenderedAt":1128},["ShallowReactive",2],{"blog-it-supabase-invalid-jwt":3,"blog-index-it":602},{"id":4,"title":5,"body":6,"category":560,"cover":561,"coverAlt":562,"description":563,"draft":564,"extension":565,"faq":566,"image":582,"keywords":583,"meta":591,"navigation":592,"ogTitle":5,"path":593,"published":594,"seo":595,"stem":596,"tldr":597,"updated":594,"__hash__":601},"blog_it\u002Fblog\u002Fsupabase-invalid-jwt.md","Supabase invalid JWT: quale chiave ha smesso di funzionare?",{"type":7,"value":8,"toc":547},"minimark",[9,13,24,27,39,44,47,50,53,56,62,66,73,87,167,172,179,200,207,211,221,233,236,262,267,270,282,293,297,300,312,327,331,334,366,370,373,395,398,405,409,412,428,431,439,442,446,452,461,475,485,502,506,535],[10,11,12],"p",{},"Ieri la tua app funzionava. Stamattina ogni richiesta torna con un 401, nel tuo\ncodice non è cambiato niente, e la risposta parla di un JWT, una cosa che non hai\nmai digitato da nessuna parte.",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","{\n  \"code\": \"PGRST301\",\n  \"message\": \"JWT cryptographic operation failed\"\n}\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26],{},"Un errore Supabase invalid JWT è quello che si presenta dopo che hai fatto la\ncosa giusta. Hai ruotato una chiave perché te lo diceva una guida, oppure hai\nportato il progetto sulle chiavi nuove, e l'app è ammutolita.",[10,28,29,30,34,35,38],{},"Ed ecco il punto su cui guida dopo guida sbaglia: ",[31,32,33],"strong",{},"la chiave di cui parla questo\nmessaggio spesso non è quella che hai appena cambiato."," Cerca l'errore e ti\nmanderanno a controllare la tua chiave ",[21,36,37],{},"anon",". Su un progetto passato alle chiavi\npublishable e secret, la chiave API non è affatto un token firmato, quindi ciò\nche non ha superato la verifica era qualcos'altro nella richiesta.",[40,41,43],"h2",{"id":42},"che-cosa-significa-un-errore-supabase-invalid-jwt","Che cosa significa un errore Supabase invalid JWT?",[10,45,46],{},"Qualcosa nella tua richiesta era un token firmato, e la firma non corrispondeva.",[10,48,49],{},"Una password è una parola che qualcuno cerca in un elenco. Un JWT non è questo. È\nuna lettera chiusa con un sigillo di ceralacca: la persona alla porta non ti\ncerca da nessuna parte, tiene in mano un timbro e controlla se il sigillo sulla\ntua lettera è stato fatto con quello. Se sì, passi, e nessuno legge nessun\nelenco.",[10,51,52],{},"Una lettera sigillata con il timbro sbagliato viene respinta anche se ogni parola\nal suo interno è giusta. E nel momento in cui la porta cambia timbro, nessuna\nlettera già in viaggio si apre più, senza che nessuno abbia toccato le lettere.",[10,54,55],{},"La tua richiesta è la lettera. Il tuo progetto Supabase tiene il timbro. Un 401\nqui vuol dire che i due non coincidevano.",[57,58],"diagram",{"alt":59,"caption":60,"src":61},"Due corsie che portano ciascuna una lettera sigillata allo stesso timbro, inciso con un segno a tre raggi. In alto il sigillo della lettera porta lo stesso segno, la lettera passa, la tabella dietro mostra tre righe accese e la risposta è 200. In basso il sigillo porta un punto dentro un quadrato, una barra ambra ferma la lettera, la tabella dietro è un contorno tratteggiato vuoto e la risposta è 401.","Non si cerca niente in nessun elenco. Il sigillo del token viene confrontato con il timbro che tiene il tuo progetto, e una lettera il cui sigillo è stato fatto da qualcos'altro viene respinta a prescindere da cosa ci sia scritto dentro.","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fhow-the-check-works-1600x660.png",[40,63,65],{"id":64},"il-messaggio-è-cambiato-in-postgrest-13-il-codice-no","Il messaggio è cambiato in PostgREST 13, il codice no",[10,67,68,69,72],{},"Controlla ",[21,70,71],{},"PGRST301",". La frase che lo accompagna dipende dalla versione di\nPostgREST che gira sul tuo progetto, e quelle più recenti te ne danno un breve\nelenco.",[10,74,75,76,78,79,82,83,86],{},"La referenza degli errori di PostgREST descrive ",[21,77,71],{}," come un JWT ricevuto\nche non si è potuto decodificare o che non è valido, con HTTP 401, sia nella\nversione 13 sia nella 14. Quella frase è la descrizione della tabella di\ndocumentazione. Non è ciò che atterra nel tuo campo ",[21,80,81],{},"message",". Leggendo\n",[21,84,85],{},"Error.hs"," sul branch main di PostgREST, quel campo porta una di queste:",[88,89,90,103],"table",{},[91,92,93],"thead",{},[94,95,96,100],"tr",{},[97,98,99],"th",{},"Che cosa dice il messaggio",[97,101,102],{},"Che cosa ti dice",[104,105,106,117,127,137,147,157],"tbody",{},[94,107,108,114],{},[109,110,111],"td",{},[21,112,113],{},"Empty JWT is sent in Authorization header",[109,115,116],{},"L'header è stato mandato ed era vuoto.",[94,118,119,124],{},[109,120,121],{},[21,122,123],{},"Expected 3 parts in JWT; got 1",[109,125,126],{},"Quello che è arrivato non è un JWT. Un JWT sono tre blocchi separati da punti.",[94,128,129,134],{},[109,130,131],{},[21,132,133],{},"No suitable key or wrong key type",[109,135,136],{},"Il server non ha nessuna chiave in grado di verificare un token di quel tipo.",[94,138,139,144],{},[109,140,141],{},[21,142,143],{},"Wrong or unsupported encoding algorithm",[109,145,146],{},"Il token indica un algoritmo di firma che il server non usa.",[94,148,149,154],{},[109,150,151],{},[21,152,153],{},"JWT cryptographic operation failed",[109,155,156],{},"Il token è ben formato e la firma non corrisponde.",[94,158,159,164],{},[109,160,161],{},[21,162,163],{},"Unsupported token type",[109,165,166],{},"Il token ha una forma che PostgREST non legge.",[10,168,169,171],{},[21,170,153],{}," è quello che vuol dire chiave vecchia. Il\ntoken è stato costruito bene e firmato da qualcosa che il progetto non tiene più,\nche è esattamente ciò che una rotazione lascia indietro.",[10,173,174,175,178],{},"I progetti più vecchi vedono tutt'altro, ed è da lì che arriva la stringa che si\ntrova ovunque nei risultati di ricerca. Prima della versione 13 PostgREST\nstampava quello che aveva detto la sua libreria JWT, esattamente come l'aveva\ndetto. Da lì viene ",[21,176,177],{},"JWSError JWSInvalidSignature",": è un valore di libreria\nstampato a schermo, non una frase che qualcuno ha scritto per te. Il changelog di\nPostgREST per la 13.0.0 descrive la modifica come messaggi di errore diagnostici\nal posto di interni esposti.",[180,181,183],"callout",{"type":182},"warn",[10,184,185,188,189,192,193,195,196,199],{},[31,186,187],{},"Se il tuo codice confronta il testo del messaggio, confronta il codice\ninvece."," Un controllo che misura ",[21,190,191],{},"error.message"," contro\n",[21,194,177],{}," funziona oggi e smette di funzionare il giorno in\ncui il tuo progetto passa a un PostgREST più recente, senza un tuo deploy nel\nmezzo. Supabase dice la stessa cosa nella sua documentazione degli errori: usa\n",[21,197,198],{},"error.code"," e non confrontare i messaggi di errore come testo.",[10,201,202,203,206],{},"Un codice vicino vale la pena conoscerlo mentre sei qui. ",[21,204,205],{},"PGRST303",", anch'esso\n401, è quello che ricevi quando la firma è stata verificata e il contenuto del\ntoken è stato rifiutato: scaduto, non ancora valido, o con l'audience sbagliata.\nSe è quello il tuo codice, smetti di guardare le chiavi e vai a guardare\nl'orologio e la sessione.",[40,208,210],{"id":209},"quale-chiave-è-la-chiave-api-o-il-token-del-tuo-utente","Quale chiave è: la chiave API o il token del tuo utente?",[10,212,213,214,216,217,220],{},"Dipende da se il tuo progetto usa ancora ",[21,215,37],{}," e ",[21,218,219],{},"service_role",".",[10,222,223,224,216,226,228,229,232],{},"La documentazione di Supabase sulle chiavi API è esplicita sulla differenza. Le\nvecchie chiavi ",[21,225,37],{},[21,227,219],{}," sono JWT di lunga durata, ed è per questo\nche cominciano con ",[21,230,231],{},"eyJ",". Le chiavi publishable e secret più recenti sono\nstringhe corte e non sono affatto JWT.",[10,234,235],{},"Questo unico fatto taglia l'errore in due:",[237,238,239,250],"ul",{},[240,241,242,249],"li",{},[31,243,244,245,216,247,220],{},"Il tuo progetto usa ancora ",[21,246,37],{},[21,248,219],{}," La chiave API della tua\nrichiesta è essa stessa un token firmato, quindi una chiave di un altro\nprogetto, una chiave di prima di una rotazione o un incolla troncato falliscono\nla verifica della firma esattamente come farebbe una sessione sbagliata.\nEntrambi i token della richiesta possono essere quello fallito.",[240,251,252,261],{},[31,253,254,255,216,258,220],{},"Il tuo progetto è passato a ",[21,256,257],{},"sb_publishable_",[21,259,260],{},"sb_secret_"," La chiave API\nha smesso di essere un token, quindi non c'è nessuna firma su di essa che\nqualcosa possa rifiutare. Resta da verificare l'access token del tuo utente\nautenticato, che Supabase Auth emette separatamente dalla chiave API.",[57,263],{"alt":264,"caption":265,"src":266},"Due righe, ciascuna che termina in un timbro. Nella riga in alto, una lettera sigillata con l'etichetta anon e una seconda lettera sigillata accanto a una persona vanno entrambe verso il timbro. Nella riga in basso, una scheda liscia con l'etichetta sb_publishable_ non porta né sigillo né linea, e solo la lettera sigillata accanto alla persona va verso il timbro.","Su un progetto vecchio arrivano due lettere sigillate e ognuna delle due può essere quella respinta. Dopo il passaggio alle chiavi nuove la chiave API non porta più un sigillo, e la sessione del tuo utente autenticato è l'unica cosa a cui resta attaccata una firma.","\u002Fblog\u002Fsupabase-invalid-jwt\u002Ftwo-things-called-your-key-1600x820.png",[10,268,269],{},"In pratica, la prima domanda non è quale chiave sia sbagliata. È se qualcuno\nfosse autenticato quando la richiesta è fallita. Se una pagina senza accesso\nfunziona e una con accesso no, stai guardando le sessioni. Se fallisce tutto,\ninclusa una pagina che non chiede niente di personale, stai guardando la chiave\nAPI, e il tuo progetto è di quelli vecchi.",[10,271,272,273,276,277,220],{},"Se sono le sessioni e il tuo log di Auth dice anche ",[21,274,275],{},"Invalid Refresh Token",", i\ntuoi utenti vengono disconnessi perché\n",[278,279,281],"a",{"href":280},"\u002Fblog\u002Fsupabase-users-logged-out","la sessione dietro il loro token è finita",[10,283,284,285,288,289,220],{},"Se la risposta arriva da Supabase Auth e dice ",[21,286,287],{},"invalid claim: missing sub claim",", il token ha passato il controllo della firma e non nominava nessuno. È\nuna chiave mandata dove va il token di una persona, e\n",[278,290,292],{"href":291},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","quel messaggio ha un articolo tutto suo",[40,294,296],{"id":295},"invalid-jwt-non-è-no-api-key-found-in-request","Invalid JWT non è \"No API key found in request\"",[10,298,299],{},"Sono due messaggi diversi con due cause diverse, e le correzioni non hanno niente\nin comune.",[10,301,302,303,307,308,311],{},"Un invalid JWT vuol dire che un token è arrivato e la firma non corrispondeva.\n",[278,304,306],{"href":305},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\""," vuol dire che\nnon è arrivato nessun header ",[21,309,310],{},"apikey",", quindi la richiesta è stata respinta al\ngateway prima che al tuo database venisse chiesto qualcosa.",[10,313,314,315,317,318,321,322,324,325,220],{},"È la risposta stessa a dirti quale dei due hai. Una chiave mancante viene\nrespinta dal gateway davanti al tuo progetto, quindi il corpo porta un ",[21,316,81],{},"\ne un ",[21,319,320],{},"hint"," e nessun ",[21,323,21],{},". Un invalid JWT è arrivato abbastanza avanti da\nessere letto da PostgREST, ed è per questo che torna con scritto ",[21,326,71],{},[40,328,330],{"id":329},"dove-sta-ancora-la-vecchia-chiave-in-ordine","Dove sta ancora la vecchia chiave, in ordine",[10,332,333],{},"Quattro posti, e conviene controllarli in quest'ordine perché è grosso modo la\nfrequenza con cui ognuno è la risposta.",[335,336,337,343,354,360],"ol",{},[240,338,339,342],{},[31,340,341],{},"Le impostazioni di progetto del tuo strumento."," Lovable, Bolt, v0 e Replit\ntengono ciascuno il proprio set di variabili d'ambiente, e se hai costruito\ncon Cursor o Claude Code lo stesso set sta dove fai il deploy. È la copia che\nquasi tutti aggiornano, e l'unica che quasi tutti aggiornano.",[240,344,345,348,349,353],{},[31,346,347],{},"Una chiave scritta direttamente nel codice."," Viaggia dentro il JavaScript\nche scaricano i tuoi visitatori, quindi cambiarla nella dashboard non cambia\nniente finché il file non viene modificato e il sito ricostruito. ",[278,350,352],{"href":351},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Dove sta\nquella pagina e cosa fa ogni\nvalore",", se non l'hai mai aperta.",[240,355,356,359],{},[31,357,358],{},"I secret delle Edge Function."," Una funzione tiene il proprio set, separato\nda quello del tuo frontend, e continua quindi a usare la vecchia chiave quando\ntutto il resto si è già spostato. Supabase avverte anche che una funzione con\nl'impostazione Verify JWT attiva può rompersi quando ruoti una chiave di\nfirma.",[240,361,362,365],{},[31,363,364],{},"Un deploy che nessuno ha ricostruito."," La chiave è stata incorporata\nall'ultima build, quindi la copia online continua a mandarla finché qualcosa\nnon innesca una build nuova. La tua dashboard mostra la chiave nuova per tutto\nil tempo, ed è questo che rende difficile vedere questo caso: il posto dove\nvai a controllare è l'unico che è già a posto.",[40,367,369],{"id":368},"quale-chiave-manda-davvero-la-tua-app-in-produzione","Quale chiave manda davvero la tua app in produzione",[10,371,372],{},"Apri il sito pubblicato invece dell'anteprima, e leggi cosa manda la pagina.",[10,374,375,376,378,379,381,382,384,385,389,390,394],{},"Una vecchia chiave Supabase è una stringa lunga che comincia con ",[21,377,231],{},". Quelle\npiù recenti si annunciano nei primi caratteri: ",[21,380,257],{}," sta nella tua\napp e ",[21,383,260],{}," mai. Se trovi la seconda in una pagina che un visitatore può\ncaricare, lascia perdere questo articolo e\n",[278,386,388],{"href":387},"\u002Fblog\u002Frotate-supabase-service-role-key","ruotala"," prima di qualsiasi altra cosa.\nQuale delle due hai in mano, e\n",[278,391,393],{"href":392},"\u002Fblog\u002Fsupabase-new-api-keys","che cosa è cambiato quando Supabase le ha\nrinominate",", sono le cose da chiarire prima di\ncominciare a sostituire valori.",[10,396,397],{},"Per vedere cosa emette il tuo progetto adesso: tutte le chiavi stanno ormai in un\nposto solo nella dashboard, sotto Settings e poi API Keys, comprese quelle\nvecchie.",[10,399,400,401,220],{},"Se preferisci non leggere un bundle minificato, la nostra scansione gratuita\nlegge la tua app in produzione come la leggerebbe uno sconosciuto e segnala le\nchiavi visibili dall'esterno. Ci mette una ventina di secondi e non serve un\naccount: ",[278,402,404],{"href":403},"\u002Fsecurity-scanner","scansiona la tua app",[40,406,408],{"id":407},"ruotare-una-chiave-di-firma-senza-disconnettere-tutti","Ruotare una chiave di firma senza disconnettere tutti",[10,410,411],{},"Quale dei due percorsi di rotazione stai seguendo decide se i tuoi utenti se ne\naccorgono.",[10,413,414,415,418,419,216,421,423,424,427],{},"La documentazione di Supabase sulle chiavi di firma li mette uno accanto\nall'altro. Ruotare il ",[31,416,417],{},"vecchio secret JWT"," disconnette subito tutti gli utenti\nattivi, e ",[21,420,37],{},[21,422,219],{}," vanno ruotate nello stesso momento. Le ",[31,425,426],{},"JWT\nsigning keys"," più recenti funzionano diversamente: una chiave nuova parte come\nstandby, la rotazione la rende quella corrente, e quella che sostituisce diventa\nla precedente. Finché è così, le firme di entrambe le chiavi continuano a essere\naccettate, e le lettere sigillate la settimana scorsa si aprono ancora. Revocare\nla vecchia chiave è il passo separato che mette fine a tutto questo.",[10,429,430],{},"Due avvertenze nella stessa documentazione sono quelle che fregano:",[237,432,433,436],{},[240,434,435],{},"Un componente che verifica i token per conto proprio contro il vecchio secret\nJWT, con una libreria come jose o jsonwebtoken, si rompe alla rotazione. Tiene\nin mano il vecchio timbro e nessuno gli ha detto di cambiarlo.",[240,437,438],{},"Una Edge Function con Verify JWT attivo può rompersi per lo stesso motivo.",[10,440,441],{},"Creare chiavi publishable e secret non revoca nemmeno le tue chiavi vecchie.\nContinuano a funzionare finché non le disattivi, cosa che la documentazione\nsegnala come un passo a parte. Così un'app che ha spostato solo metà delle sue\ncopie continua a funzionare per settimane, e il giorno in cui qualcuno disattiva\nla vecchia coppia è il giorno in cui l'altra metà comincia a rispondere 401.",[40,443,445],{"id":444},"tenere-docchio-unapp-che-ha-cominciato-a-rispondere-401","Tenere d'occhio un'app che ha cominciato a rispondere 401",[10,447,448,451],{},[31,449,450],{},"Un'app che risponde 401 a ogni richiesta è comunque online, continua a servire\nuna pagina e continua a rispondere a qualsiasi controllo di salute."," Nella tua\ndashboard non diventa rosso niente. Lo scopri quando qualcuno ti scrive.",[10,453,454],{},[31,455,456,460],{},[278,457,459],{"href":458},"\u002Fwebsite-monitoring","Reeve Monitor"," lo scopre per primo:",[237,462,463,466,469,472],{},[240,464,465],{},"tutti e nove i controlli ogni ora, su un massimo di tre app",[240,467,468],{},"un'email il giorno in cui una nuova scansione valuta la tua app peggio della precedente",[240,470,471],{},"se l'app risponde, ogni 60 secondi",[240,473,474],{},"un rapporto mensile di quello che ha visto",[10,476,477],{},[31,478,479,480,484],{},"Una chiave che hai dovuto ruotare in fretta di solito è una chiave che stava\ndove non doveva, e da qui non puoi vedere cosa sia stato letto o modificato con\nessa mentre era fuori. ",[278,481,483],{"href":482},"\u002Fsupabase-backups","Reeve Care"," tiene una copia del tuo\ndatabase Supabase di prima.",[237,486,487,490,493,496,499],{},[240,488,489],{},"una copia cifrata secondo un calendario, tenuta sullo storage di Reeve nell'UE, fuori dal tuo account Supabase",[240,491,492],{},"ogni copia verificata prima di contare, contando le righe di ogni tabella",[240,494,495],{},"un ripristino in un clic che salva quello che c'è ora prima di sostituirlo",[240,497,498],{},"anche i tuoi file caricati, appena colleghi un accesso Storage",[240,500,501],{},"tutto quello che fa Monitor",[40,503,505],{"id":504},"cosa-fare-oggi","Cosa fare oggi",[507,508,509],"key-takeaways",{},[237,510,511,523,526,529,532],{},[240,512,513,514,516,517,519,520,522],{},"Leggi il campo ",[21,515,21],{},", non la frase. ",[21,518,71],{}," è una firma che non corrispondeva, ",[21,521,205],{}," è un token il cui contenuto è stato rifiutato, per esempio scaduto.",[240,524,525],{},"Capisci quale token è fallito prima di cambiare una chiave. Se le pagine senza accesso funzionano e quelle con accesso no, è una sessione e non la tua chiave API.",[240,527,528],{},"Controlla tutti e quattro i posti dove si nasconde la vecchia chiave: le impostazioni dello strumento, il codice stesso, i secret delle Edge Function e un deploy che nessuno ha ricostruito.",[240,530,531],{},"Fai la rotazione in una sola sessione. Ogni copia che lasci indietro è un'app che funziona a metà, e il sito online continua a mandare la vecchia chiave finché non viene ricostruito.",[240,533,534],{},"Con le nuove chiavi di firma è la revoca il passo che chiude davvero le vecchie firme. La sola rotazione le lascia accettate.",[10,536,537,538,541,542,546],{},"Comincia chiedendoti se una pagina senza accesso si carica ancora, perché quella\nsola risposta decide quale metà di questo articolo ti riguarda. Se salta fuori\nche una chiave secret era allo scoperto,\n",[278,539,540],{"href":387},"ruotarla"," copre l'ordine in cui\nprocedere, e\n",[278,543,545],{"href":544},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","quali chiavi sono mai state sicure da\npubblicare"," racconta perché le\ndue sono finite per assomigliarsi tanto.",{"title":23,"searchDepth":548,"depth":548,"links":549},3,[550,552,553,554,555,556,557,558,559],{"id":42,"depth":551,"text":43},2,{"id":64,"depth":551,"text":65},{"id":209,"depth":551,"text":210},{"id":295,"depth":551,"text":296},{"id":329,"depth":551,"text":330},{"id":368,"depth":551,"text":369},{"id":407,"depth":551,"text":408},{"id":444,"depth":551,"text":445},{"id":504,"depth":551,"text":505},"Basi della sicurezza","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcover-1200x630.png","Una lettera sigillata davanti a un timbro la cui incisione non corrisponde più al sigillo, e altre lettere dietro una barra ambra.","Un errore Supabase invalid JWT è PGRST301: un token firmato non ha superato la verifica. Su un progetto recente riguarda la sessione, non la chiave API.",false,"md",[567,570,573,576,579],{"q":568,"a":569},"Che cosa significa PGRST301?","PGRST301 è PostgREST che risponde HTTP 401 perché non è riuscito a verificare un token firmato presente nella tua richiesta. PostgREST è il server che trasforma le tue tabelle Supabase nell'API HTTP con cui parla la tua applicazione. La sua stessa referenza degli errori descrive il codice come un JWT ricevuto che non si è potuto decodificare o che non è valido, e dalla versione 13 il campo message porta una frase più precisa su quale parte della verifica è fallita.",{"q":571,"a":572},"Perché ricevo 401 dopo aver ruotato la mia chiave Supabase?","Perché da qualche parte viene ancora inviata una copia della vecchia chiave. I posti soliti sono le impostazioni di progetto del tuo strumento, una chiave scritta direttamente nel codice, un secret di Edge Function e un deploy costruito prima della modifica e mai ricostruito da allora. Un token firmato con una chiave che il server non accetta più non supera la verifica, e questo ti arriva come 401 su ogni richiesta invece che come un messaggio sulla chiave.",{"q":574,"a":575},"Che differenza c'è con No API key found in request?","Sono due messaggi diversi con cause diverse. No API key found in request significa che la richiesta è arrivata senza alcun header apikey ed è stata respinta al gateway prima che al database venisse chiesto qualcosa. Un invalid JWT significa che un token c'era e la sua firma non corrispondeva. Il primo è una lettera senza indirizzo, il secondo una lettera con il sigillo sbagliato.",{"q":577,"a":578},"Devo aggiornare anche le mie Edge Functions?","Sì, ed è la copia che si dimentica più spesso, perché una Edge Function tiene i propri secret, separati da quelli che usa il tuo frontend. Supabase avverte anche che una funzione con l'impostazione Verify JWT attiva può rompersi quando ruoti una chiave di firma, e che qualunque componente che verifichi i token per conto proprio contro il vecchio secret JWT si romperà per lo stesso motivo.",{"q":580,"a":581},"Come vedo quale chiave manda davvero la mia app in produzione?","Apri il sito pubblicato, non l'anteprima, e guarda che cosa manda la pagina davvero. Una vecchia chiave Supabase è una stringa lunga che comincia con eyJ, e quelle più recenti cominciano con sb_publishable_ o sb_secret_. La nostra scansione gratuita legge un'app in produzione come la leggerebbe uno sconosciuto e segnala le chiavi visibili dall'esterno, il che dice anche se ne viene ancora mandata una vecchia.","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",[584,585,586,587,588,589,590],"supabase invalid jwt","pgrst301","bad_jwt supabase","supabase 401 dopo la rotazione della chiave","jwsinvalidsignature supabase","vecchia chiave supabase non funziona più","provided jwt could not be decoded",{},true,"\u002Fblog\u002Fsupabase-invalid-jwt","2026-10-16",{"title":5,"description":563},"blog\u002Fsupabase-invalid-jwt",[598,599,600],"Un errore Supabase invalid JWT arriva come PGRST301 con HTTP 401, e significa che la firma del token partito con la tua richiesta non si è potuta verificare. Non è stato cercato nulla in un elenco per poi rifiutarlo.","Le chiavi publishable e secret sono stringhe corte senza firma, quindi su un progetto che è passato a queste chiavi questo errore riguarda il tuo utente autenticato e mai la chiave API.","PostgREST 13 ha sostituito una frase vaga con un breve elenco di frasi precise. Leggi il messaggio che hai ricevuto davvero: ognuno esclude una causa diversa.","MjTjMFeeltwoDvZI178-eEJ0Xwpyxf22-gHVWLTWM7I",[603,609,615,621,627,633,638,644,650,656,662,669,675,681,687,693,699,705,711,717,723,729,734,740,746,747,753,759,765,771,777,783,789,795,800,806,812,818,824,830,836,842,848,854,860,866,871,877,883,889,895,901,907,913,919,925,931,937,943,949,955,961,967,973,978,984,990,996,1002,1008,1014,1020,1026,1032,1038,1043,1049,1055,1061,1067,1073,1079,1085,1091,1096,1101,1107,1113,1118,1124],{"path":604,"title":605,"description":606,"published":607,"category":560,"image":608,"draft":564},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\", spiegato","Supabase \"max client connections reached\": il pooler non ha posto per un altro client. La porta nella tua stringa di connessione decide il limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":610,"title":611,"description":612,"published":613,"category":560,"image":614,"draft":564},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Errore Supabase: \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\": Google è disattivato nel tuo progetto Supabase. Come attivarlo e risolvere redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":616,"title":617,"description":618,"published":619,"category":560,"image":620,"draft":564},"\u002Fblog\u002Fviolates-foreign-key-constraint","Errore Supabase \"violates foreign key constraint\" all'inserimento","Supabase \"insert or update on table violates foreign key constraint\": la tua riga punta a una riga che non c'è. Quale, perché, e la soluzione.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":622,"title":623,"description":624,"published":625,"category":560,"image":626,"draft":564},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Errore Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\": una colonna obbligatoria è arrivata vuota. Da dove viene il null, e la soluzione.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":628,"title":629,"description":630,"published":631,"category":560,"image":632,"draft":564},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\": dove è finita la sessione","\"Auth session missing!\" è supabase-js che non trova nessuna sessione e non arriva nemmeno a chiedere a Supabase. Dove è finita la sessione, e la correzione.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":291,"title":634,"description":635,"published":636,"category":560,"image":637,"draft":564},"Supabase \"invalid claim: missing sub claim\": nessun utente connesso","\"invalid claim: missing sub claim\": Supabase Auth ha ricevuto un token autentico senza alcun utente, la chiave del progetto al posto di una sessione.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":639,"title":640,"description":641,"published":642,"category":560,"image":643,"draft":564},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\": la causa vera","\"Failed to send a request to the Edge Function\": il browser non ha ricevuto una risposta leggibile. La sua console dice perché e se la tua funzione è partita.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":645,"title":646,"description":647,"published":648,"category":560,"image":649,"draft":564},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Perché i link email di Supabase reindirizzano a localhost:3000","Se Supabase reindirizza a localhost:3000, la Site URL non è mai stata cambiata o il tuo indirizzo manca in Redirect URLs. La soluzione, e il jolly da evitare.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":651,"title":652,"description":653,"published":654,"category":560,"image":655,"draft":564},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" su un link nuovo","Su un link inviato un minuto fa, \"Email link is invalid or has expired\" di Supabase di solito vuol dire che un filtro della posta l'ha usato prima.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":657,"title":658,"description":659,"published":660,"category":560,"image":661,"draft":564},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\", spiegato","Supabase \"canceling statement due to statement timeout\": una query ha superato il limite del suo ruolo, 3 secondi per un visitatore. Guarda la policy RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":663,"title":664,"description":665,"published":666,"category":667,"image":668,"draft":564},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" su Supabase, e cosa porta con sé","\"Database error deleting user\" su Supabase: il tuo database ha rifiutato la cancellazione. La causa è nei log, e la soluzione decide cos'altro sparisce.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":670,"title":671,"description":672,"published":673,"category":560,"image":674,"draft":564},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" su Supabase","Un webhook Stripe in una Edge Function di Supabase dice \"No signatures found matching the expected signature\"? Due cause. Non smettere di verificare.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":676,"title":677,"description":678,"published":679,"category":560,"image":680,"draft":564},"\u002Fblog\u002Fsupabase-invalid-login","\"Invalid login credentials\" in Supabase: le tre cause","Supabase dice \"Invalid login credentials\" per una password sbagliata, un'email sconosciuta e un account Google. Come capire quale.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":682,"title":683,"description":684,"published":685,"category":560,"image":686,"draft":564},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\": l'errore vero","\"Edge Function returned a non-2xx status code\" vuol dire che la tua funzione Supabase ha risposto con un errore. Ecco dove leggere quello vero.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":688,"title":689,"description":690,"published":691,"category":560,"image":692,"draft":564},"\u002Fblog\u002Fcertificate-not-trusted","Certificato non attendibile: tre cause oltre alla scadenza","Certificato non attendibile anche se la data è giusta? Nomina un altro indirizzo, si è firmato da solo o alla sua catena manca un anello. Come capirlo.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":694,"title":695,"description":696,"published":697,"category":560,"image":698,"draft":564},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\": leggi le virgolette","Supabase \"invalid input syntax for type uuid\": la tua app ha inviato qualcosa che non è un id. Leggi le virgolette, ferma la query, tieni la colonna.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":700,"title":701,"description":702,"published":703,"category":560,"image":704,"draft":564},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\", spiegato","Supabase \"duplicate key value violates unique constraint\": il valore è già preso. Trova la colonna, scegli una correzione, tieni il valore fuori schermo.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":706,"title":707,"description":708,"published":709,"category":560,"image":710,"draft":564},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" quando la tabella c'è","Supabase \"relation does not exist\" o PGRST205: nessuna tabella ha quel nome in quello schema. Quattro controlli, e che cosa apre esporre uno schema.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":712,"title":713,"description":714,"published":715,"category":560,"image":716,"draft":564},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" riporta i nomi degli argomenti inviati dalla tua app. Confrontali con la funzione.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":718,"title":719,"description":720,"published":721,"category":560,"image":722,"draft":564},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" di solito è un nome che non torna. Quattro controlli in ordine e la riga che ricarica.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":724,"title":725,"description":726,"published":727,"category":560,"image":728,"draft":564},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\": due limiti, un solo codice","Supabase \"Email Rate Limit Exceeded\" limita ogni email del tuo progetto: 2 all'ora con il mittente integrato. Cosa conta e come alzarlo.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":280,"title":730,"description":731,"published":732,"category":560,"image":733,"draft":564},"Supabase \"Invalid Refresh Token: Refresh Token Not Found\": 3 cause","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" disconnette i tuoi utenti. Tre cause, e come il log di Auth le distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":735,"title":736,"description":737,"published":738,"category":560,"image":739,"draft":564},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\": tre cause","Supabase \"permission denied for schema public\" indica un grant mancante sullo schema. Cosa lo ha tolto, e la riga che lo rimette.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":741,"title":742,"description":743,"published":744,"category":560,"image":745,"draft":564},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\": le tre cose che può voler dire","Supabase \"Bucket not found\" è una di tre cose: un link pubblico a un bucket privato, un nome non esattamente uguale o il progetto sbagliato.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":593,"title":5,"description":563,"published":594,"category":560,"image":582,"draft":564},{"path":748,"title":749,"description":750,"published":751,"category":560,"image":752,"draft":564},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" quasi sempre è nessuna","Supabase restituisce PGRST116, \"JSON object requested, multiple (or no) rows returned\", quando la query non ha trovato nulla. Una riga nascosta sembra assente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":754,"title":755,"description":756,"published":757,"category":560,"image":758,"draft":564},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" su Supabase: dove guardare","\"Database error saving new user\" vuol dire che qualcosa attaccato alla registrazione Supabase è fallito. L'errore vero sta nei tuoi log.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":760,"title":761,"description":762,"published":763,"category":560,"image":764,"draft":564},"\u002Fblog\u002Fwhat-is-supabase","Cos'è Supabase? Il database che ha scelto il tuo builder","Cos'è Supabase: il database, il login e l'archivio file dietro la tua app. Supabase manda avanti i server; le regole su chi legge le tue righe sono tue.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":766,"title":767,"description":768,"published":769,"category":560,"image":770,"draft":564},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Una chiave AWS esposta nel frontend non è come una chiave OpenAI","Una chiave di accesso AWS esposta nel tuo frontend legge e scrive il tuo storage. La soluzione di solito è una presigned URL, non una chiave nuova.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":772,"title":773,"description":774,"published":775,"category":560,"image":776,"draft":564},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" in upload","\"New row violates row-level security policy for table objects\" vuol dire che al tuo upload manca una regola insert. Rendere pubblico il bucket non ne aggiunge.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":778,"title":779,"description":780,"published":781,"category":560,"image":782,"draft":564},"\u002Fblog\u002Fbase44-security-scan","Scansione di sicurezza Base44: ciò che vede solo lei","La scansione di sicurezza Base44 controlla sette tipi di problema dall’interno. Ecco la metà che legge e che nessun altro legge, e quella che non guarda mai.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":784,"title":785,"description":786,"published":787,"category":560,"image":788,"draft":564},"\u002Fblog\u002Fapi-key-leaked-what-to-do","La tua chiave API è trapelata. L'ordine in cui muoverti","Una chiave API è trapelata e non sai da cosa cominciare. Non tutte le chiavi nel frontend lo sono, e l'ordine conta più della velocità.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":790,"title":791,"description":792,"published":793,"category":560,"image":794,"draft":564},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" senza disattivare RLS","\"Infinite recursion detected in policy for relation\" significa che la tua policy ha interrogato la tabella che protegge. Ecco come rompere il cerchio.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":305,"title":796,"description":797,"published":798,"category":560,"image":799,"draft":564},"\"No API key found in request\" su Supabase, e la correzione sbagliata","\"No API key found in request\" significa che la tua richiesta è arrivata a Supabase senza chiave. Quasi tutte le risposte indicano le regole del database.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":801,"title":802,"description":803,"published":804,"category":560,"image":805,"draft":564},"\u002Fblog\u002Fis-base44-safe","Base44 è sicuro? Cosa abbiamo trovato in 5.442 app","Base44 è sicuro? Abbiamo passato nove controlli su 5.442 app Base44 online. Quasi tutte hanno preso B, per motivi che il proprietario non ha mai scelto.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":807,"title":808,"description":809,"published":810,"category":560,"image":811,"draft":564},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","Nascondere una chiave API: spostala in una Edge Function Supabase","Nascondere una chiave API vuol dire toglierla dal browser, e una Edge Function Supabase è il posto più piccolo dove metterla. Due passaggi contano di più.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":813,"title":814,"description":815,"published":816,"category":560,"image":817,"draft":564},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Il tuo file .env è esposto? I dodici percorsi da provare","Il tuo file .env è esposto sul tuo server web? Dodici indirizzi te lo dicono, e una risposta significa che tutto quello che contiene è già pubblico.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":819,"title":820,"description":821,"published":822,"category":560,"image":823,"draft":564},"\u002Fblog\u002Fis-v0-safe","Sicurezza di v0: tutte le 1.790 app v0 analizzate hanno preso A","La sicurezza di v0 misurata su 1.790 app v0 online: tutte hanno preso A. Solo 17 nominavano un database, ed è soprattutto questo che misura quella A.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":825,"title":826,"description":827,"published":828,"category":560,"image":829,"draft":564},"\u002Fblog\u002Fis-bolt-safe","Bolt è sicuro? Cosa abbiamo trovato in 1.123 app Bolt","Bolt è sicuro? Abbiamo passato 1.123 app Bolt online per nove controlli. L’hosting era pulito. I rilievi erano chiavi e tabelle aperte dentro le app.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":831,"title":832,"description":833,"published":834,"category":560,"image":835,"draft":564},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase è down o è la tua app? Come capirlo","Supabase è down o è la tua app? Un progetto in pausa, un database pieno e un tuo errore sembrano la stessa cosa. Quattro controlli li separano.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":837,"title":838,"description":839,"published":840,"category":560,"image":841,"draft":564},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase crittografa i miei dati? Sì. Ecco da cosa protegge","Supabase crittografa i dati? Sì: AES-256 a riposo, TLS in transito, SOC 2 e ISO 27001. Cosa copre ciascuno, e la fuga di dati che nessuno di questi ferma.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":843,"title":844,"description":845,"published":846,"category":560,"image":847,"draft":564},"\u002Fblog\u002Fsupabase-free-plan-limits","Supabase: prezzi e limiti del piano gratuito, uno per uno","Prezzi e limiti del piano gratuito di Supabase: 500 MB di database, 5 GB di egress e nessun backup. Cosa succede a ogni soglia e cosa cambia Pro a $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":849,"title":850,"description":851,"published":852,"category":667,"image":853,"draft":564},"\u002Fblog\u002Ftest-your-supabase-backup","Testa il tuo backup di Supabase prima del giorno in cui serve","Come testare il tuo backup di Supabase: ripristinarlo in un progetto di prova, contare le righe, accedere e cercare la riga che manca a un file troncato.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":855,"title":856,"description":857,"published":858,"category":667,"image":859,"draft":564},"\u002Fblog\u002Fsupabase-backup-github-action","Backup gratis di Supabase con una GitHub Action, e il tranello","Un backup di Supabase con una GitHub Action è gratis e va bene per molte app. Il workflow, la connection string giusta e l'egress di ogni esecuzione.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":861,"title":862,"description":863,"published":864,"category":667,"image":865,"draft":564},"\u002Fblog\u002Fdownload-your-supabase-backup","Perché non puoi scaricare il tuo backup di Supabase","Non puoi scaricare il tuo backup di Supabase su un progetto recente, perché la copia giornaliera è uno snapshot fisico. Come verificarlo e tenere una copia tua.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":867,"title":868,"description":869,"published":864,"category":560,"image":870,"draft":564},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\": il grant mancante","Dal 30 ottobre una nuova tabella di Supabase risponde \"permission denied for table\" finché non concedi l'accesso. Il grant della mail è metà della soluzione.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":872,"title":873,"description":874,"published":875,"category":560,"image":876,"draft":564},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint API aperto è un problema di sicurezza? Leggi il JSON","La tua scansione ha segnalato un endpoint API aperto. Quanto conti dipende da che cosa è tornato, e la maggior parte di quelli trovati era della piattaforma.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":878,"title":879,"description":880,"published":881,"category":560,"image":882,"draft":564},"\u002Fblog\u002Flovable-security-scan","Scansione di sicurezza Lovable: cosa non può dimostrare","Scansione di sicurezza Lovable: cosa controllano Quick scan e Deep scan, quando parte ciascuno, e l’unica cosa che nessuna scansione dall’interno dimostra.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":884,"title":885,"description":886,"published":887,"category":667,"image":888,"draft":564},"\u002Fblog\u002Fsupabase-backup-auth-users","Perché nel tuo dump Supabase non ci sono utenti","Lancia supabase db dump da solo e ottieni la forma del tuo database e nessuna delle sue righe, senza lo schema auth in cui vivono i tuoi utenti.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":890,"title":891,"description":892,"published":893,"category":560,"image":894,"draft":564},"\u002Fblog\u002Fdomain-and-certificate-expiry","Dominio scaduto, sito offline: cosa succede adesso","Il tuo dominio è scaduto e il sito è offline. Il conto alla rovescia che parte, perché il certificato è il problema minore, e come controllarli entrambi.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":896,"title":897,"description":898,"published":899,"category":560,"image":900,"draft":564},"\u002Fblog\u002Fis-lovable-safe","Lovable è sicuro? Cosa abbiamo trovato in 18.554 app Lovable","Lovable è sicuro? Abbiamo passato 18.554 app Lovable online per nove controlli. La piattaforma è risultata la più pulita di cinque. I rilievi stavano nelle app.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":902,"title":903,"description":904,"published":905,"category":560,"image":906,"draft":564},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist di sicurezza del vibe coding, in nove controlli","Una checklist di sicurezza del vibe coding in nove voci, ognuna verificabile dall’esterno sulla tua app dal vivo, e ognuna con un test di una riga.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":908,"title":909,"description":910,"published":911,"category":560,"image":912,"draft":564},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Una chiave segreta Stripe nel frontend può muovere denaro","Una chiave segreta Stripe esposta nel tuo frontend può rimborsare, addebitare e leggere ogni scheda cliente che hai. La tua chiave pk_live_ ci sta bene.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":914,"title":915,"description":916,"published":917,"category":560,"image":918,"draft":564},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica","Variabili d’ambiente Vite esposte: la tua app ha fatto ciò che il prefisso chiedeva. VITE_ e NEXT_PUBLIC_ vogliono dire pubblica, e l’IA non sapeva il costo.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":920,"title":921,"description":922,"published":923,"category":560,"image":924,"draft":564},"\u002Fblog\u002Fbase44-source-maps","Sicurezza Base44: cosa segnala uno scan e cosa tocca a te sistemare","Sicurezza Base44 su 5.438 app scansionate: tre segnalazioni su quasi tutte sono della piattaforma, la source map è il badge di Base44, la tua parte è corta.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":926,"title":927,"description":928,"published":929,"category":560,"image":930,"draft":564},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI è sicuro? L’editor, il codice e l’app che hai pubblicato","Cursor AI è sicuro? Tre domande in una ricerca: cosa tiene Cursor, cosa sbaglia il codice che scrive, e se l’app che hai pubblicato è aperta.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":932,"title":933,"description":934,"published":935,"category":560,"image":936,"draft":564},"\u002Fblog\u002Fis-replit-safe","Replit è sicuro? Cosa abbiamo trovato in 3.042 app Replit online","Replit è sicuro? Abbiamo passato 3.042 app Replit online per nove controlli esterni. I rilievi stavano nell’app pubblicata, non nell’host.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":938,"title":939,"description":940,"published":941,"category":667,"image":942,"draft":564},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup: la copia del database non ha nessun file","Un Supabase storage backup è un lavoro a parte. I backup del database tengono la lista dei tuoi file e nessuno dei file, quindi ogni upload resta rotto.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":944,"title":945,"description":946,"published":947,"category":667,"image":948,"draft":564},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery di Supabase: prezzo e limiti","Il point-in-time recovery di Supabase riavvolge il database a qualsiasi secondo della settimana scorsa. $100 al mese oltre a Pro, e copre solo il database.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":950,"title":951,"description":952,"published":953,"category":667,"image":954,"draft":564},"\u002Fblog\u002Fsupabase-project-paused-recover","Progetto Supabase in pausa? I tuoi dati sono ancora lì","Supabase ha messo in pausa il tuo progetto dopo una settimana senza attività. Non è cancellato niente, Ripristina è accanto al nome e hai un anno di tempo.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":956,"title":957,"description":958,"published":959,"category":560,"image":960,"draft":564},"\u002Fblog\u002Fsafest-ai-app-builder","Qual è il builder di app con IA più sicuro? 30.998 app testate","Qual è il builder di app con IA più sicuro? Abbiamo scansionato 30.998 app online di Lovable, Base44, Replit, v0 e Bolt. Non è il builder a decidere il voto.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":962,"title":963,"description":964,"published":965,"category":560,"image":966,"draft":564},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Attiva Row Level Security su ogni tabella Supabase, poi verificalo","Attivare Row Level Security su Supabase senza una policy chiude del tutto la tabella. Una policy senza il flag non fa nulla. Ecco lo SQL, e la verifica.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":968,"title":969,"description":970,"published":971,"category":560,"image":972,"draft":564},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\": cosa non vede l'avviso","Supabase segnala \"RLS disabled in public\" come errore. Non dice nulla della policy di lettura che lascia la tua tabella altrettanto aperta.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":387,"title":974,"description":975,"published":976,"category":560,"image":977,"draft":564},"Come ruotare una chiave service_role Supabase trapelata","Supabase dice di chiudere prima la falla. Altre guide dicono di ruotare subito. Quale sia giusto dipende da dove è finita la tua chiave service_role.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":979,"title":980,"description":981,"published":982,"category":560,"image":983,"draft":564},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanner di sicurezza per vibe coding a confronto, il nostro incluso","Il miglior scanner di sicurezza per vibe coding dipende da tre domande che nessun elenco di funzioni affronta. Otto strumenti a confronto, con i prezzi.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":985,"title":986,"description":987,"published":988,"category":560,"image":989,"draft":564},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker: i cinque controlli da fare da soli","Un Supabase security checker legge la tua app pubblicata invece delle impostazioni del progetto. Ecco i cinque controlli che esegue e come farli da solo.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":991,"title":992,"description":993,"published":994,"category":560,"image":995,"draft":564},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner di sicurezza per vibe coding: cosa si perde","Uno scanner di sicurezza per vibe coding legge la tua app dal vivo, da fuori. Cosa copre, le quattro cose che non può vedere e come leggere il risultato.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":997,"title":998,"description":999,"published":1000,"category":560,"image":1001,"draft":564},"\u002Fblog\u002Fmissing-security-headers","Intestazioni di sicurezza mancanti: quando contano","Le intestazioni di sicurezza mancanti sono il rilievo che il nostro scanner stampa più spesso. Da cosa proteggono e quando sono la riga meno urgente.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1003,"title":1004,"description":1005,"published":1006,"category":560,"image":1007,"draft":564},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","La tua chiave API OpenAI è esposta nel frontend. Ruotala.","Una chiave API OpenAI esposta nel frontend non si può legare a nessun dominio. Ruotala oggi, sposta la chiamata sul tuo server e metti un tetto di spesa.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1009,"title":1010,"description":1011,"published":1012,"category":560,"image":1013,"draft":564},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Chiave API esposta nel frontend: cosa spediscono 30.998 app","Una chiave API esposta nel tuo frontend è quasi sempre una chiave di Google Maps. Abbiamo scansionato 30.998 app vibe-coded e contato cosa esce davvero.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1015,"title":1016,"description":1017,"published":1018,"category":667,"image":1019,"draft":564},"\u002Fblog\u002Fsupabase-backup-tools-compared","Strumenti di backup Supabase a confronto, il nostro incluso","Quattro tipi di strumento di backup Supabase, cosa copia davvero ognuno, e il caso in cui una GitHub Action gratuita batte il pagare chiunque, noi inclusi.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1021,"title":1022,"description":1023,"published":1024,"category":560,"image":1025,"draft":564},"\u002Fblog\u002Freplit-secrets-explained","Come usare i secret su Replit, e cosa viene comunque pubblicato","Come usare i secret su Replit: aggiungerne uno, rileggerlo e risolvere le due cause dell'undefined. E le chiavi che lo strumento non riesce a proteggere.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1027,"title":1028,"description":1029,"published":1030,"category":667,"image":1031,"draft":564},"\u002Fblog\u002Fback-up-supabase-free-tier","Backup del piano gratuito Supabase: farne uno senza terminale","Sul piano gratuito Supabase non esistono backup: la copia la fai tu. Come farne uno dalla dashboard e che cosa si lascia dietro la via del CSV.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1033,"title":1034,"description":1035,"published":1036,"category":560,"image":1037,"draft":564},"\u002Fblog\u002Fis-supabase-secure","Supabase è sicuro? Sì. Il tuo progetto è un'altra questione","Supabase è sicuro? La piattaforma è certificata, cifrata e sottoposta a pentest. La loro documentazione dice dove finisce quello e iniziano le tue impostazioni.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":351,"title":1039,"description":1040,"published":1041,"category":560,"image":1042,"draft":564},"Dove trovare le chiavi API di Supabase: anon, service_role e URL","L'URL del progetto, la chiave anon e la chiave service_role stanno su una pagina della dashboard. Ecco dove si trova e quale dei quattro va nella tua app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1044,"title":1045,"description":1046,"published":1047,"category":560,"image":1048,"draft":564},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy su Supabase. E adesso?","\"New row violates row-level security policy\" significa che Supabase ha rifiutato una scrittura. La soluzione veloce riapre la tabella a chiunque.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1050,"title":1051,"description":1052,"published":1053,"category":560,"image":1054,"draft":564},"\u002Fblog\u002Fcors-wildcard-security-risk","Un wildcard CORS è un rischio di sicurezza? Quasi mai.","Un wildcard CORS è un rischio di sicurezza? Di solito è il valore predefinito del tuo builder e non consegna nulla che il tuo server non desse già a chiunque.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1056,"title":1057,"description":1058,"published":1059,"category":667,"image":1060,"draft":564},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Il branching di Supabase non è un backup. Va solo in avanti.","Perché il branching di Supabase non è un backup: un branch parte senza i tuoi dati e un merge sposta solo lo schema. A cosa serve davvero e cosa usare invece.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1062,"title":1063,"description":1064,"published":1065,"category":667,"image":1066,"draft":564},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Come ripristinare un backup Supabase, e cosa si rompe dopo","Come ripristinare un backup Supabase dalla dashboard o da un file di dump, che cosa sostituisce il ripristino e perché la tua app può restare rotta lo stesso.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1068,"title":1069,"description":1070,"published":1071,"category":560,"image":1072,"draft":564},"\u002Fblog\u002Fsupabase-storage-bucket-public","Il tuo bucket Supabase Storage è pubblico. È un problema?","Un bucket Supabase Storage pubblico significa che chi ha l'URL di un file può aprirlo. Non significa che qualcuno possa elencare quello che c'è dentro.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1074,"title":1075,"description":1076,"published":1077,"category":560,"image":1078,"draft":564},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Una chiave API Google nel frontend è un problema?","Una chiave API Google esposta nel frontend è la chiave che il nostro scanner trova più spesso, e di solito va bene così. Lo decide una impostazione gratuita.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1080,"title":1081,"description":1082,"published":1083,"category":667,"image":1084,"draft":564},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agente IA ha cancellato i miei dati Supabase. Cosa recupero?","Un agente IA ha cancellato dati dal tuo database. Quello che puoi recuperare era già deciso prima che partisse, e i prossimi minuti decidono il resto.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1086,"title":1087,"description":1088,"published":1089,"category":560,"image":1090,"draft":564},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Chiunque può leggere il tuo database Supabase? 3.680 app testate","Chiunque può leggere il tuo database Supabase senza fare login? Abbiamo scansionato 30.998 app online create con i builder IA e misurato quante rispondono sì.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1092,"title":1093,"description":1094,"published":1089,"category":560,"image":1095,"draft":564},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source map esposte: la tua app sta pubblicando il codice originale","Una source map esposta permette a chiunque di leggere il codice originale della tua app, commenti inclusi. Il controllo da 30 secondi e cosa conta davvero.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":392,"title":1097,"description":1098,"published":1099,"category":560,"image":1100,"draft":564},"Supabase publishable key: è la stessa della anon key?","Supabase ha sostituito anon e service_role con chiavi pubblicabili e segrete. Quale sta bene nella tua app, e quale non deve starci mai?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1102,"title":1103,"description":1104,"published":1105,"category":667,"image":1106,"draft":564},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase fa il backup del mio database? Dipende dal tuo piano.","Supabase fa il backup del tuo database? Ogni giorno sui piani a pagamento, mai su quello gratuito. Come capire cosa hai e cosa quella copia non copre.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1108,"title":1109,"description":1110,"published":1111,"category":560,"image":1112,"draft":564},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security è attivo. La tabella resta pubblica.","Attivare Supabase Row Level Security non protegge una tabella. Lo fanno le policy, e quella che ha rimesso in piedi la tua app può far entrare chiunque.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1114,"title":1115,"description":1116,"published":1111,"category":667,"image":1117,"draft":564},"\u002Fblog\u002Fversion-history-is-not-a-backup","La cronologia delle versioni non è un backup dei tuoi dati.","Lovable e Bolt tengono una cronologia delle versioni del codice. Il tuo database è un servizio a parte, e tornare indietro non ti restituisce i dati.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1119,"title":1120,"description":1121,"published":1122,"category":667,"image":1123,"draft":564},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Tre modi per fare il backup di un database Supabase, e cosa manca","Il pannello, pg_dump e un servizio gestito. Che cosa salva davvero ciascuno, cosa lascia fuori senza dirlo e quale sopravvive alla perdita dell'account.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":544,"title":1125,"description":1126,"published":1122,"category":560,"image":1127,"draft":564},"Quali chiavi API sono sicure nel browser e quali no","La tua chiave anon di Supabase è fatta per essere pubblica. La chiave service_role no, e ignora ogni regola che imposti. Come distinguerle.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213651843]