[{"data":1,"prerenderedAt":1135},["ShallowReactive",2],{"blog-it-supabase-invalid-login":3,"blog-index-it":606},{"id":4,"title":5,"body":6,"category":564,"cover":565,"coverAlt":566,"description":567,"draft":568,"extension":569,"faq":570,"image":586,"keywords":587,"meta":594,"navigation":595,"ogTitle":596,"path":597,"published":598,"seo":599,"stem":600,"tldr":601,"updated":598,"__hash__":605},"blog_it\u002Fblog\u002Fsupabase-invalid-login.md","\"Invalid login credentials\" in Supabase: le tre cause",{"type":7,"value":8,"toc":551},"minimark",[9,13,24,27,35,40,43,64,94,97,101,104,110,116,122,131,137,141,148,161,168,174,177,255,262,266,269,272,275,288,292,295,306,332,335,339,342,345,348,357,367,377,384,389,393,396,432,435,441,444,448,451,460,474,483,503,507,538],[10,11,12],"p",{},"Qualcuno ti scrive che non riesce ad accedere alla tua app ed è sicuro che la\npassword sia giusta. Provi tu stesso il suo indirizzo e ottieni la stessa riga\nrossa sotto il modulo:",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","Invalid login credentials\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26],{},"Supabase risponde \"Invalid login credentials\" a una password sbagliata. E\nrisponde con le stesse identiche parole ad altre due persone: chi ha un'email\nsenza account nella tua app e chi si è registrato con Google e non ha mai avuto\nuna password. La tua app fatta con Lovable, Bolt, v0, Cursor, Claude Code o\nReplit funziona come è stata costruita. Dà una sola risposta a tre situazioni\ndiverse.",[10,28,29,30,34],{},"Ecco la parte che la correzione ovvia sbaglia: ",[31,32,33],"strong",{},"il messaggio vago è voluto, e\nrenderlo più utile apre una falla."," Quello che aiuta è capire quale dei tre casi\nhai davanti, cosa che la tua dashboard può dirti, mentre il modulo continua a\ndire poco come adesso.",[36,37,39],"h2",{"id":38},"che-cosa-significa-invalid-login-credentials-in-supabase","Che cosa significa \"Invalid login credentials\" in Supabase?",[10,41,42],{},"Significa che Supabase Auth, la parte di Supabase che fa accedere le persone, ha\nrifiutato un'email e una password e tiene per sé il motivo.",[10,44,45,46,53,54,57,58,63],{},"Il messaggio è scritto nel codice stesso del server di Auth. Nella\n",[47,48,52],"a",{"href":49,"rel":50},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Ftoken.go",[51],"nofollow","funzione che gestisce un accesso con password",",\nlo stesso errore viene restituito in tre punti: quando nessun utente ha\nquell'email, quando l'utente non ha una password salvata e quando la password\nnon corrisponde. Ogni volta la risposta è un HTTP 400 con il codice\n",[21,55,56],{},"invalid_credentials",", che il\n",[47,59,62],{"href":60,"rel":61},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fdebugging\u002Ferror-codes",[51],"riferimento dei codici di errore","\ndi Supabase descrive come \"Login credentials or grant type not recognized.\"",[10,65,66,67,70,71,74,75,78,79,81,82,84,85,88,89,93],{},"Nella tua app arriva come ",[21,68,69],{},"AuthApiError"," da ",[21,72,73],{},"signInWithPassword",", con\n",[21,76,77],{},"error.code"," uguale a ",[21,80,56],{},". Lo stesso riferimento chiede di\nriconoscere gli errori sempre da ",[21,83,77],{}," ed ",[21,86,87],{},"error.name",", e questo conta più\navanti, quando decidi cosa dice il tuo modulo. Se i tuoi utenti erano dentro e\npoi sono stati buttati fuori, è un altro errore, con\n",[47,90,92],{"href":91},"\u002Fblog\u002Fsupabase-users-logged-out","una pagina tutta sua",".",[10,95,96],{},"Pensa al tuo modulo di accesso come al tastierino accanto al portone di un\npalazzo. Qualcuno digita un codice e una spia risponde. La verde apre la porta.\nLa rossa si accende per un codice sbagliato, per un codice mai dato a nessuno e\nper un residente che è sempre entrato dalla porta laterale con un badge e non ha\nmai avuto un codice.",[36,98,100],{"id":99},"le-tre-persone-dietro-il-messaggio","Le tre persone dietro il messaggio",[10,102,103],{},"Ognuna richiede una correzione diversa, quindi conviene sapere chi hai davanti.",[10,105,106,109],{},[31,107,108],{},"La password sbagliata."," L'account esiste, ha una password, e quello che è\nstato digitato non corrisponde. Ci rientrano una password cambiata su un altro\ndispositivo e poi dimenticata, e un gestore di password che ne inserisce una\nvecchia.",[10,111,112,115],{},[31,113,114],{},"L'indirizzo senza account."," Nessuno nel tuo progetto si è registrato con\nquell'email. Può essere un secondo indirizzo (quello di lavoro, quando la persona\nsi è registrata con quello personale) o un errore di battitura alla\nregistrazione, ora salvato come sua email.",[10,117,118,121],{},[31,119,120],{},"L'account senza password."," La persona si è registrata con Google, GitHub o un\naltro pulsante di accesso, e Supabase non ha mai salvato una password per lei.\nQuando torna e ne digita una, non c'è niente con cui confrontarla. Il server di\nAuth controlla che ci sia una password salvata prima di guardare quella\ndigitata, e un account senza riceve lo stesso 400.",[10,123,124,125,130],{},"Chi si è registrato con un magic link, il link di accesso inviato per email, è\nuna variante del primo caso. Il\n",[47,126,129],{"href":127,"rel":128},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Fmagic_link.go",[51],"codice dei magic link","\ndi Supabase crea l'account con una password casuale che non viene mai mostrata a\nnessuno, quindi qualsiasi password la persona digiti è sbagliata.",[132,133],"diagram",{"alt":134,"caption":135,"src":136},"Tre persone vanno verso lo stesso tastierino: una con una chiave che non entra, una disegnata a tratteggio perché per lei non esiste un account, e una con un badge al posto della chiave. I loro tre percorsi si incontrano al tastierino, l'unica spia si accende in rosso ed esce un'unica risposta identica.","Una password sbagliata, un indirizzo sconosciuto e un account senza password arrivano allo stesso controllo e ricevono tutti la stessa risposta.","\u002Fblog\u002Fsupabase-invalid-login\u002Fthree-people-one-light-1600x760.png",[36,138,140],{"id":139},"come-capisco-quale-dei-tre-casi-è","Come capisco quale dei tre casi è?",[10,142,143,144,147],{},"Chiedilo al tuo database. Ogni account del tuo progetto è una riga in una\ntabella chiamata ",[21,145,146],{},"auth.users",", e quella riga dice come accede la persona.",[10,149,150,151,156,157,160],{},"La ",[47,152,155],{"href":153,"rel":154},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fusers",[51],"guida sugli utenti"," di Supabase\ndescrive il campo che conta: secondo Supabase, ",[21,158,159],{},"app_metadata.providers"," è\nl'elenco dei provider con cui l'utente può accedere. Un utente può avere più\nidentità, quindi la stessa persona può avere sia una password sia Google. Se una\npassword è salvata lo dice la colonna che il server stesso controlla.",[10,162,163,164,167],{},"Apri il ",[31,165,166],{},"SQL Editor"," nella dashboard di Supabase ed esegui questo con\nl'indirizzo che ti ha dato la persona:",[14,169,172],{"className":170,"code":171,"language":19},[17],"select email,\n       raw_app_meta_data->'providers' as signs_in_with,\n       coalesce(encrypted_password, '') \u003C> '' as has_password,\n       email_confirmed_at\nfrom auth.users\nwhere lower(email) = lower('person@example.com');\n",[21,173,171],{"__ignoreMap":23},[10,175,176],{},"Legge una riga e non mostra mai una password, solo se ne esiste una.",[178,179,180,193],"table",{},[181,182,183],"thead",{},[184,185,186,190],"tr",{},[187,188,189],"th",{},"Cosa torna",[187,191,192],{},"Cosa significa",[194,195,196,205,232,244],"tbody",{},[184,197,198,202],{},[199,200,201],"td",{},"Nessuna riga",[199,203,204],{},"Nessun account ha quell'indirizzo in questo progetto. Chiedi quale altro indirizzo potrebbe aver usato",[184,206,207,229],{},[199,208,209,212,213,216,217,220,221,224,225,228],{},[21,210,211],{},"has_password"," è ",[21,214,215],{},"false",", e ",[21,218,219],{},"signs_in_with"," contiene ",[21,222,223],{},"google",", ",[21,226,227],{},"github"," o simili",[199,230,231],{},"Si è registrata con quel pulsante e non ha mai avuto una password",[184,233,234,241],{},[199,235,236,212,238],{},[21,237,211],{},[21,239,240],{},"true",[199,242,243],{},"La password digitata è sbagliata, oppure si è registrata con un magic link e non ha mai saputo la sua",[184,245,246,252],{},[199,247,248,251],{},[21,249,250],{},"email_confirmed_at"," è vuoto",[199,253,254],{},"Non ha ancora confermato l'email, il che diventa un altro messaggio quando la password è giusta",[10,256,257,258,261],{},"Se preferisci cliccare invece di scrivere, ",[31,259,260],{},"Authentication → Users"," nella\ndashboard elenca gli stessi account.",[36,263,265],{"id":264},"laccount-che-non-ha-mai-avuto-una-password","L'account che non ha mai avuto una password",[10,267,268],{},"Rimanda la persona al pulsante che ha usato, oppure lasciale impostare una\npassword con il tuo link di reimpostazione.",[10,270,271],{},"Al tastierino, è il residente che ha sempre usato la porta laterale. Per lui non\nc'è alcun codice registrato, quindi ogni codice che prova viene rifiutato.",[10,273,274],{},"La prima riparazione è sulla tua pagina di accesso. Se la registrazione offre\n\"Continua con Google\", la pagina di accesso ha bisogno dello stesso pulsante,\ncosì chi si è registrato con quello lo vede quando torna.",[10,276,277,278,283,284,287],{},"Se la persona vuole anche una password, il tuo link \"Password dimenticata?\" lo\nfa già. Il\n",[47,279,282],{"href":280,"rel":281},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Frecover.go",[51],"codice di reimpostazione della password","\ndi Supabase invia l'email di recupero a qualsiasi account trovi, senza\ncontrollare come è stato creato. Un utente Google che segue il link e imposta una\nnuova password può poi accedere in entrambi i modi. Questo dipende dal fatto che\nla tua app abbia la pagina che imposta la nuova password, quella che chiama\n",[21,285,286],{},"supabase.auth.updateUser({ password })",". Se il link porta a una pagina che non\nla chiede mai, la persona entra una volta e resta senza password.",[36,289,291],{"id":290},"email-not-confirmed-vuol-dire-che-la-password-era-giusta","\"Email not confirmed\" vuol dire che la password era giusta",[10,293,294],{},"È un altro messaggio con un altro codice, e arriva solo a chi ha già superato il\ncontrollo della password.",[10,296,297,298,301,302,305],{},"Nella stessa funzione del server di Auth, il controllo dell'email confermata\nviene dopo quello della password. Quindi ",[21,299,300],{},"Email not confirmed",", codice\n",[21,303,304],{},"email_not_confirmed",", torna solo a chi ha digitato un'email esistente e la sua\npassword corretta. Il riferimento degli errori di Supabase lo formula come\n\"Signing in is not allowed for this user as the email address is not\nconfirmed.\" Al tastierino è un'altra spia: il codice era giusto, e la porta\nresta chiusa finché le pratiche del trasloco non sono finite.",[10,307,308,309,312,313,318,319,322,323,327,328,93],{},"Lo vedi quando ",[31,310,311],{},"Confirm email"," è attivo per il provider Email del tuo\nprogetto. Secondo la\n",[47,314,317],{"href":315,"rel":316},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fgeneral-configuration",[51],"guida alla configurazione","\ndi Supabase, gli utenti devono allora confermare il loro indirizzo email prima\ndi accedere per la prima volta. La correzione è l'email su cui la persona non ha\nancora cliccato: dille di controllare la posta in arrivo e lo spam, e offri di\ninviarla di nuovo con ",[21,320,321],{},"supabase.auth.resend({ type: 'signup', email })",". Se\nquelle email non arrivano proprio,\n",[47,324,326],{"href":325},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","il limite di invio delle email"," è la\nprima cosa da escludere. Se arrivano e il link risponde \"Email link is invalid\nor has expired\",\n",[47,329,331],{"href":330},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","probabilmente qualcosa l'ha aperto prima della persona",[10,333,334],{},"Visto che questo messaggio compare solo dopo una password giusta, dire alla\npersona di controllare la posta non dà a uno sconosciuto niente che non avesse\ngià.",[36,336,338],{"id":337},"perché-il-messaggio-resta-vago","Perché il messaggio resta vago",[10,340,341],{},"Perché la versione utile direbbe a degli sconosciuti chi sono i tuoi utenti.",[10,343,344],{},"Immagina che il tastierino rispondesse \"nell'interno 4B non abita nessuno\".\nChiunque passi potrebbe scorrere l'elenco degli appartamenti e sapere quali sono\nabitati.",[10,346,347],{},"Il tuo modulo funziona allo stesso modo. Se dicesse \"Nessun account con questa\nemail\", chiunque abbia una lista di indirizzi potrebbe digitarli uno per uno e\nsapere quali appartengono ai tuoi utenti. Una violazione di dati su qualche altro\nsito lascia una lista del genere, a volte con le password che la gente usava lì.\nChi sa quali indirizzi sono tuoi utenti sa di chi vale la pena provare le\nvecchie password sulla tua app, e chi probabilmente aprirà un'email che sembra\narrivare da te.",[10,349,350,351,356],{},"Supabase applica la stessa regola ovunque si inserisca un indirizzo. Il suo\n",[47,352,355],{"href":353,"rel":354},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fapi\u002Fsignup.go",[51],"codice di registrazione",",\nquando gli si chiede di creare un account per un'email già registrata e\nconfermata, può restituire un utente inventato con un ID casuale, tramite una\nfunzione il cui commento dice che esiste per evitare che trapeli se un utente è\nregistrato o no. La reimpostazione della password risponde a un indirizzo\nsconosciuto con lo stesso successo vuoto che dà a uno conosciuto.",[10,358,359,360,301,363,366],{},"Sul lato della registrazione c'è un interruttore che controlli tu. Quell'utente\ninventato è ciò che torna quando la conferma è richiesta sia per le\nregistrazioni via email sia per quelle via telefono. Se una delle due è\ndisattivata (quella del telefono conta anche se la tua app non usa mai l'accesso\nvia telefono), un indirizzo registrato riceve ",[21,361,362],{},"User already registered",[21,364,365],{},"user_already_exists",", e il tuo modulo di registrazione diventa da solo un\nverificatore di liste.",[10,368,369,370,373,374,376],{},"Il messaggio utile, poi, deve venire da qualche parte. Supabase non dice alla tua\napp se un'email ha un account, quindi per mostrare \"Nessun account con questa\nemail\" la tua app deve scoprirlo da sola. Vuol dire una ricerca che funzioni per\nun visitatore non autenticato: una lettura della tua tabella ",[21,371,372],{},"profiles"," che\nriesce solo se chiunque può leggere le email che contiene, oppure una funzione\ndel database che cerca in ",[21,375,146],{}," per chiunque lo chieda. In entrambi i\ncasi, l'elenco dei tuoi utenti diventa leggibile dall'esterno.",[10,378,379,380,93],{},"La prima delle due si vede dall'esterno, ed è così che la cerca la nostra\nscansione gratuita. Chiede a ogni tabella nominata dalla tua app quante righe\npotrebbe ottenere un visitatore senza login, legge solo il conteggio e richiede\ncirca 20 secondi, senza account: ",[47,381,383],{"href":382},"\u002Fsecurity-scanner","scansiona la tua app",[132,385],{"alt":386,"caption":387,"src":388},"Una pila di indirizzi email passa in due moduli di accesso. Quello in alto nomina gli account mancanti, e la pila esce divisa in due mucchi, uno spuntato e uno barrato, con il mucchio spuntato evidenziato in ambra. Quello in basso dà a ogni indirizzo la stessa risposta, e la pila esce come un unico mucchio uniforme.","Un modulo che nomina un account mancante divide qualsiasi lista di indirizzi tra i tuoi utenti e tutti gli altri. Una sola risposta per tutti lascia la lista com'era.","\u002Fblog\u002Fsupabase-invalid-login\u002Fthe-list-checker-1600x720.png",[36,390,392],{"id":391},"cosa-mettere-invece-sulla-tua-pagina-di-accesso","Cosa mettere invece sulla tua pagina di accesso",[10,394,395],{},"Tieni il messaggio vago e metti ogni modo per rientrare sulla stessa pagina.",[397,398,399,406,412,418],"ul",{},[400,401,402,405],"li",{},[31,403,404],{},"Un solo messaggio per i tre casi",", con parole semplici e le altre strade\naccanto: \"Email e password non corrispondono. Se ti sei registrato con\nGoogle, usa il pulsante qui sotto.\" Aiuta l'utente Google e non dice a uno\nsconosciuto niente che la tua pagina di registrazione non dica già.",[400,407,408,411],{},[31,409,410],{},"Ogni metodo della tua pagina di registrazione."," Il pulsante Google, il\nmagic link e il campo password, tutti anche sulla pagina di accesso.",[400,413,414,417],{},[31,415,416],{},"Un link \"Password dimenticata?\" verso una pagina che ne imposti una.","\nSupabase lì risponde allo stesso modo a ogni indirizzo, quindi può restare in\nvista, ed è così che una persona senza password ne ottiene una.",[400,419,420,425,426,428,429,431],{},[31,421,422,423,93],{},"Decisioni in base a ",[21,424,77],{}," Mostra il tuo messaggio vago per\n",[21,427,56],{},", e \"controlla la posta in arrivo\" con un pulsante di\nreinvio per ",[21,430,304],{},". Il riferimento degli errori di Supabase\nchiede di riconoscere gli errori dal codice invece che dal testo del\nmessaggio, e avverte che i codici di stato HTTP possono cambiare senza\npreavviso.",[10,433,434],{},"Nel codice sono due rami:",[14,436,439],{"className":437,"code":438,"language":19},[17],"const { error } = await supabase.auth.signInWithPassword({ email, password })\nif (error?.code === 'email_not_confirmed') showCheckYourInbox(email)\nelse if (error) showSignInHelp()\n",[21,440,438],{"__ignoreMap":23},[10,442,443],{},"Se un builder scrive la tua pagina di accesso, puoi incollargli questi quattro\npunti come istruzione, compreso quello su ciò che la pagina deve tenere per sé.",[36,445,447],{"id":446},"perché-la-tua-pagina-di-accesso-resti-come-lhai-lasciata","Perché la tua pagina di accesso resti come l'hai lasciata",[10,449,450],{},"Dopo oggi possono ancora andare storte due cose: un prompt successivo riscrive la\npagina per renderla \"più utile\", e una modifica altrove perde gli account a cui\nla pagina dà accesso.",[10,452,453],{},[31,454,455,459],{},[47,456,458],{"href":457},"\u002Fwebsite-monitoring","Reeve Monitor"," continua a controllare da fuori:",[397,461,462,465,468,471],{},[400,463,464],{},"tutti e nove i controlli ogni ora, su un massimo di tre app, compreso quante righe un visitatore senza login può contare nelle tabelle nominate dalla tua app",[400,466,467],{},"una email il giorno in cui una nuova scansione valuta la tua app peggio della precedente",[400,469,470],{},"se l'app risponde, ogni 60 secondi",[400,472,473],{},"un report mensile, in linguaggio semplice, di ciò che ha visto",[10,475,476],{},[31,477,478,482],{},[47,479,481],{"href":480},"\u002Fsupabase-backups","Reeve Care"," tiene una copia del tuo database Supabase,\naccount compresi:",[397,484,485,488,491,494,497,500],{},[400,486,487],{},"una copia cifrata secondo una pianificazione, sullo spazio di archiviazione di Reeve nell'UE, fuori dal tuo account Supabase",[400,489,490],{},"lo schema auth in cui vivono gli account dei tuoi utenti, così tornano insieme a tutto il resto",[400,492,493],{},"ogni copia verificata prima che conti, contando le righe di ogni tabella",[400,495,496],{},"anche i tuoi file caricati, appena colleghi una credenziale di Storage",[400,498,499],{},"un ripristino in un clic, con una copia di sicurezza dello stato attuale presa prima",[400,501,502],{},"tutto quello che fa Monitor",[36,504,506],{"id":505},"cosa-fare-adesso","Cosa fare adesso",[508,509,510],"key-takeaways",{},[397,511,512,518,521,524,527,535],{},[400,513,514,515,517],{},"Esegui la query su ",[21,516,146],{}," con l'indirizzo che ti ha dato la persona e guarda quale dei tre casi è.",[400,519,520],{},"Nessuna riga: chiedi con quale altro indirizzo potrebbe essersi registrata.",[400,522,523],{},"Nessuna password: indicale il pulsante Google o GitHub che ha usato, o il tuo link di reimpostazione.",[400,525,526],{},"Una password, e comunque rifiutata: mandale il link di reimpostazione.",[400,528,529,530,532,533,93],{},"Mostra un messaggio vago per ",[21,531,56],{},", e \"controlla la posta in arrivo\" solo per ",[21,534,304],{},[400,536,537],{},"Non aggiungere mai un controllo che dica a un visitatore se un'email ha un account.",[10,539,540,541,545,546,550],{},"Se il problema comincia un passo prima e i nuovi account non vengono nemmeno\ncreati, ",[47,542,544],{"href":543},"\u002Fblog\u002Fdatabase-error-saving-new-user","Database error saving new user","\ncopre quel lato del modulo. La\n",[47,547,549],{"href":548},"\u002Fchecklist","checklist di sicurezza in 10 minuti"," copre ciò che di solito resta\naperto in un'app appena lanciata.",{"title":23,"searchDepth":552,"depth":552,"links":553},3,[554,556,557,558,559,560,561,562,563],{"id":38,"depth":555,"text":39},2,{"id":99,"depth":555,"text":100},{"id":139,"depth":555,"text":140},{"id":264,"depth":555,"text":265},{"id":290,"depth":555,"text":291},{"id":337,"depth":555,"text":338},{"id":391,"depth":555,"text":392},{"id":446,"depth":555,"text":447},{"id":505,"depth":555,"text":506},"Basi della sicurezza","\u002Fblog\u002Fsupabase-invalid-login\u002Fcover-1200x630.png","Un tastierino accanto a una porta con l'unica spia accesa in rosso e, davanti, un badge per cui il tastierino non ha una fessura.","Supabase dice \"Invalid login credentials\" per una password sbagliata, un'email sconosciuta e un account Google. Come capire quale.",false,"md",[571,574,577,580,583],{"q":572,"a":573},"Perché Supabase dice \"Invalid login credentials\" se la password è giusta?","Perché la password può essere giusta per un account che non esiste, oppure l'account può non avere alcuna password. Controlla che l'email sia quella usata per registrarsi, e se la persona si è registrata con Google o un altro pulsante di accesso, perché in quel caso l'account non ha password. Una query su auth.users nel SQL Editor mostra quale dei casi è.",{"q":575,"a":576},"\"Invalid login credentials\" vuol dire che l'account non esiste?","A volte. Supabase restituisce lo stesso messaggio, con lo stesso codice, invalid_credentials, quando nessun account ha quell'email, quando l'account non ha password e quando la password è sbagliata. Il messaggio da solo non ti dice quale, ed è fatto così.",{"q":578,"a":579},"Perché chi si è registrato con Google non può accedere con una password?","Perché il suo account è stato creato senza. Supabase controlla che ci sia una password salvata prima di confrontare quella digitata, e un account senza password riceve \"Invalid login credentials\". La persona può continuare a usare il pulsante Google, oppure usare il link di reimpostazione della tua app per impostarne una: Supabase invia quell'email a qualsiasi account trovi, comunque sia stato creato.",{"q":581,"a":582},"Il mio modulo di accesso dovrebbe dire che l'email non è registrata?","No. Quel messaggio dice a chiunque scriva un indirizzo se appartiene a uno dei tuoi utenti, e chi ha una lista di indirizzi trapelati può controllarli tutti. La tua app avrebbe anche bisogno di una ricerca che risponda a questa domanda per degli sconosciuti, ed è una seconda falla. Tieni il messaggio vago e mostra gli altri modi per accedere.",{"q":584,"a":585},"Che differenza c'è tra \"Invalid login credentials\" ed \"Email not confirmed\"?","Supabase restituisce \"Email not confirmed\" solo dopo aver controllato la password e averla trovata corretta. Quindi la persona giusta ha scritto la password giusta, e l'account aspetta che clicchi il link nella sua email di conferma. Puoi dirle senza rischi di controllare la posta in arrivo e offrirle di inviare di nuovo l'email.","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",[588,589,590,591,56,592,593],"invalid login credentials supabase","invalid login credentials","supabase login non funziona","email not confirmed supabase","supabase user enumeration","supabase utente google senza password",{},true,"\"Invalid login credentials\" in Supabase","\u002Fblog\u002Fsupabase-invalid-login","2026-10-28",{"title":5,"description":567},"blog\u002Fsupabase-invalid-login",[602,603,604],"Supabase risponde \"Invalid login credentials\" a tre persone diverse: chi ha scritto la password sbagliata, chi ha un'email senza account e chi si è registrato con Google e non ha mai avuto una password.","Lo fa apposta. Un modulo di accesso che dicesse quale dei tre casi è stato direbbe a chiunque abbia una lista di indirizzi email quali appartengono ai tuoi utenti.","Puoi distinguere i tre da solo con una query su auth.users. La tua pagina di accesso dovrebbe tenere il messaggio vago e offrire ogni modo in cui l'account può essere stato creato.","6SkeLQqxER90kQ-9dxldG-E5vkZFGMvuYSyS-ksgYPM",[607,613,619,625,631,637,643,649,655,660,666,673,679,680,686,692,698,704,710,716,722,727,732,738,744,750,756,761,767,773,779,785,791,797,803,809,815,821,827,833,839,845,851,857,863,869,874,880,886,892,898,904,910,916,922,928,934,940,946,952,958,964,970,976,982,988,994,1000,1006,1012,1018,1024,1030,1036,1042,1048,1054,1060,1066,1072,1078,1084,1090,1096,1101,1107,1113,1119,1124,1130],{"path":608,"title":609,"description":610,"published":611,"category":564,"image":612,"draft":568},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\", spiegato","Supabase \"max client connections reached\": il pooler non ha posto per un altro client. La porta nella tua stringa di connessione decide il limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":614,"title":615,"description":616,"published":617,"category":564,"image":618,"draft":568},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Errore Supabase: \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\": Google è disattivato nel tuo progetto Supabase. Come attivarlo e risolvere redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":620,"title":621,"description":622,"published":623,"category":564,"image":624,"draft":568},"\u002Fblog\u002Fviolates-foreign-key-constraint","Errore Supabase \"violates foreign key constraint\" all'inserimento","Supabase \"insert or update on table violates foreign key constraint\": la tua riga punta a una riga che non c'è. Quale, perché, e la soluzione.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":626,"title":627,"description":628,"published":629,"category":564,"image":630,"draft":568},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Errore Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\": una colonna obbligatoria è arrivata vuota. Da dove viene il null, e la soluzione.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":632,"title":633,"description":634,"published":635,"category":564,"image":636,"draft":568},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\": dove è finita la sessione","\"Auth session missing!\" è supabase-js che non trova nessuna sessione e non arriva nemmeno a chiedere a Supabase. Dove è finita la sessione, e la correzione.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":638,"title":639,"description":640,"published":641,"category":564,"image":642,"draft":568},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\": nessun utente connesso","\"invalid claim: missing sub claim\": Supabase Auth ha ricevuto un token autentico senza alcun utente, la chiave del progetto al posto di una sessione.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":644,"title":645,"description":646,"published":647,"category":564,"image":648,"draft":568},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\": la causa vera","\"Failed to send a request to the Edge Function\": il browser non ha ricevuto una risposta leggibile. La sua console dice perché e se la tua funzione è partita.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":650,"title":651,"description":652,"published":653,"category":564,"image":654,"draft":568},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Perché i link email di Supabase reindirizzano a localhost:3000","Se Supabase reindirizza a localhost:3000, la Site URL non è mai stata cambiata o il tuo indirizzo manca in Redirect URLs. La soluzione, e il jolly da evitare.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":330,"title":656,"description":657,"published":658,"category":564,"image":659,"draft":568},"Supabase \"Email link is invalid or has expired\" su un link nuovo","Su un link inviato un minuto fa, \"Email link is invalid or has expired\" di Supabase di solito vuol dire che un filtro della posta l'ha usato prima.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":661,"title":662,"description":663,"published":664,"category":564,"image":665,"draft":568},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\", spiegato","Supabase \"canceling statement due to statement timeout\": una query ha superato il limite del suo ruolo, 3 secondi per un visitatore. Guarda la policy RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":667,"title":668,"description":669,"published":670,"category":671,"image":672,"draft":568},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" su Supabase, e cosa porta con sé","\"Database error deleting user\" su Supabase: il tuo database ha rifiutato la cancellazione. La causa è nei log, e la soluzione decide cos'altro sparisce.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":674,"title":675,"description":676,"published":677,"category":564,"image":678,"draft":568},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" su Supabase","Un webhook Stripe in una Edge Function di Supabase dice \"No signatures found matching the expected signature\"? Due cause. Non smettere di verificare.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":597,"title":5,"description":567,"published":598,"category":564,"image":586,"draft":568},{"path":681,"title":682,"description":683,"published":684,"category":564,"image":685,"draft":568},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\": l'errore vero","\"Edge Function returned a non-2xx status code\" vuol dire che la tua funzione Supabase ha risposto con un errore. Ecco dove leggere quello vero.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":687,"title":688,"description":689,"published":690,"category":564,"image":691,"draft":568},"\u002Fblog\u002Fcertificate-not-trusted","Certificato non attendibile: tre cause oltre alla scadenza","Certificato non attendibile anche se la data è giusta? Nomina un altro indirizzo, si è firmato da solo o alla sua catena manca un anello. Come capirlo.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":693,"title":694,"description":695,"published":696,"category":564,"image":697,"draft":568},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\": leggi le virgolette","Supabase \"invalid input syntax for type uuid\": la tua app ha inviato qualcosa che non è un id. Leggi le virgolette, ferma la query, tieni la colonna.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":699,"title":700,"description":701,"published":702,"category":564,"image":703,"draft":568},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\", spiegato","Supabase \"duplicate key value violates unique constraint\": il valore è già preso. Trova la colonna, scegli una correzione, tieni il valore fuori schermo.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":705,"title":706,"description":707,"published":708,"category":564,"image":709,"draft":568},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" quando la tabella c'è","Supabase \"relation does not exist\" o PGRST205: nessuna tabella ha quel nome in quello schema. Quattro controlli, e che cosa apre esporre uno schema.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":711,"title":712,"description":713,"published":714,"category":564,"image":715,"draft":568},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" riporta i nomi degli argomenti inviati dalla tua app. Confrontali con la funzione.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":717,"title":718,"description":719,"published":720,"category":564,"image":721,"draft":568},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" di solito è un nome che non torna. Quattro controlli in ordine e la riga che ricarica.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":325,"title":723,"description":724,"published":725,"category":564,"image":726,"draft":568},"Supabase \"Email Rate Limit Exceeded\": due limiti, un solo codice","Supabase \"Email Rate Limit Exceeded\" limita ogni email del tuo progetto: 2 all'ora con il mittente integrato. Cosa conta e come alzarlo.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":91,"title":728,"description":729,"published":730,"category":564,"image":731,"draft":568},"Supabase \"Invalid Refresh Token: Refresh Token Not Found\": 3 cause","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" disconnette i tuoi utenti. Tre cause, e come il log di Auth le distingue.","2026-10-19","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",{"path":733,"title":734,"description":735,"published":736,"category":564,"image":737,"draft":568},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\": tre cause","Supabase \"permission denied for schema public\" indica un grant mancante sullo schema. Cosa lo ha tolto, e la riga che lo rimette.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":739,"title":740,"description":741,"published":742,"category":564,"image":743,"draft":568},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\": le tre cose che può voler dire","Supabase \"Bucket not found\" è una di tre cose: un link pubblico a un bucket privato, un nome non esattamente uguale o il progetto sbagliato.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":745,"title":746,"description":747,"published":748,"category":564,"image":749,"draft":568},"\u002Fblog\u002Fsupabase-invalid-jwt","Supabase invalid JWT: quale chiave ha smesso di funzionare?","Un errore Supabase invalid JWT è PGRST301: un token firmato non ha superato la verifica. Su un progetto recente riguarda la sessione, non la chiave API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":751,"title":752,"description":753,"published":754,"category":564,"image":755,"draft":568},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" quasi sempre è nessuna","Supabase restituisce PGRST116, \"JSON object requested, multiple (or no) rows returned\", quando la query non ha trovato nulla. Una riga nascosta sembra assente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":543,"title":757,"description":758,"published":759,"category":564,"image":760,"draft":568},"\"Database error saving new user\" su Supabase: dove guardare","\"Database error saving new user\" vuol dire che qualcosa attaccato alla registrazione Supabase è fallito. L'errore vero sta nei tuoi log.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":762,"title":763,"description":764,"published":765,"category":564,"image":766,"draft":568},"\u002Fblog\u002Fwhat-is-supabase","Cos'è Supabase? Il database che ha scelto il tuo builder","Cos'è Supabase: il database, il login e l'archivio file dietro la tua app. Supabase manda avanti i server; le regole su chi legge le tue righe sono tue.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":768,"title":769,"description":770,"published":771,"category":564,"image":772,"draft":568},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Una chiave AWS esposta nel frontend non è come una chiave OpenAI","Una chiave di accesso AWS esposta nel tuo frontend legge e scrive il tuo storage. La soluzione di solito è una presigned URL, non una chiave nuova.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":774,"title":775,"description":776,"published":777,"category":564,"image":778,"draft":568},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" in upload","\"New row violates row-level security policy for table objects\" vuol dire che al tuo upload manca una regola insert. Rendere pubblico il bucket non ne aggiunge.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":780,"title":781,"description":782,"published":783,"category":564,"image":784,"draft":568},"\u002Fblog\u002Fbase44-security-scan","Scansione di sicurezza Base44: ciò che vede solo lei","La scansione di sicurezza Base44 controlla sette tipi di problema dall’interno. Ecco la metà che legge e che nessun altro legge, e quella che non guarda mai.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":786,"title":787,"description":788,"published":789,"category":564,"image":790,"draft":568},"\u002Fblog\u002Fapi-key-leaked-what-to-do","La tua chiave API è trapelata. L'ordine in cui muoverti","Una chiave API è trapelata e non sai da cosa cominciare. Non tutte le chiavi nel frontend lo sono, e l'ordine conta più della velocità.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":792,"title":793,"description":794,"published":795,"category":564,"image":796,"draft":568},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" senza disattivare RLS","\"Infinite recursion detected in policy for relation\" significa che la tua policy ha interrogato la tabella che protegge. Ecco come rompere il cerchio.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":798,"title":799,"description":800,"published":801,"category":564,"image":802,"draft":568},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" su Supabase, e la correzione sbagliata","\"No API key found in request\" significa che la tua richiesta è arrivata a Supabase senza chiave. Quasi tutte le risposte indicano le regole del database.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":804,"title":805,"description":806,"published":807,"category":564,"image":808,"draft":568},"\u002Fblog\u002Fis-base44-safe","Base44 è sicuro? Cosa abbiamo trovato in 5.442 app","Base44 è sicuro? Abbiamo passato nove controlli su 5.442 app Base44 online. Quasi tutte hanno preso B, per motivi che il proprietario non ha mai scelto.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":810,"title":811,"description":812,"published":813,"category":564,"image":814,"draft":568},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","Nascondere una chiave API: spostala in una Edge Function Supabase","Nascondere una chiave API vuol dire toglierla dal browser, e una Edge Function Supabase è il posto più piccolo dove metterla. Due passaggi contano di più.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":816,"title":817,"description":818,"published":819,"category":564,"image":820,"draft":568},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Il tuo file .env è esposto? I dodici percorsi da provare","Il tuo file .env è esposto sul tuo server web? Dodici indirizzi te lo dicono, e una risposta significa che tutto quello che contiene è già pubblico.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":822,"title":823,"description":824,"published":825,"category":564,"image":826,"draft":568},"\u002Fblog\u002Fis-v0-safe","Sicurezza di v0: tutte le 1.790 app v0 analizzate hanno preso A","La sicurezza di v0 misurata su 1.790 app v0 online: tutte hanno preso A. Solo 17 nominavano un database, ed è soprattutto questo che misura quella A.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":828,"title":829,"description":830,"published":831,"category":564,"image":832,"draft":568},"\u002Fblog\u002Fis-bolt-safe","Bolt è sicuro? Cosa abbiamo trovato in 1.123 app Bolt","Bolt è sicuro? Abbiamo passato 1.123 app Bolt online per nove controlli. L’hosting era pulito. I rilievi erano chiavi e tabelle aperte dentro le app.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":834,"title":835,"description":836,"published":837,"category":564,"image":838,"draft":568},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase è down o è la tua app? Come capirlo","Supabase è down o è la tua app? Un progetto in pausa, un database pieno e un tuo errore sembrano la stessa cosa. Quattro controlli li separano.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":840,"title":841,"description":842,"published":843,"category":564,"image":844,"draft":568},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase crittografa i miei dati? Sì. Ecco da cosa protegge","Supabase crittografa i dati? Sì: AES-256 a riposo, TLS in transito, SOC 2 e ISO 27001. Cosa copre ciascuno, e la fuga di dati che nessuno di questi ferma.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":846,"title":847,"description":848,"published":849,"category":564,"image":850,"draft":568},"\u002Fblog\u002Fsupabase-free-plan-limits","Supabase: prezzi e limiti del piano gratuito, uno per uno","Prezzi e limiti del piano gratuito di Supabase: 500 MB di database, 5 GB di egress e nessun backup. Cosa succede a ogni soglia e cosa cambia Pro a $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":852,"title":853,"description":854,"published":855,"category":671,"image":856,"draft":568},"\u002Fblog\u002Ftest-your-supabase-backup","Testa il tuo backup di Supabase prima del giorno in cui serve","Come testare il tuo backup di Supabase: ripristinarlo in un progetto di prova, contare le righe, accedere e cercare la riga che manca a un file troncato.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":858,"title":859,"description":860,"published":861,"category":671,"image":862,"draft":568},"\u002Fblog\u002Fsupabase-backup-github-action","Backup gratis di Supabase con una GitHub Action, e il tranello","Un backup di Supabase con una GitHub Action è gratis e va bene per molte app. Il workflow, la connection string giusta e l'egress di ogni esecuzione.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":864,"title":865,"description":866,"published":867,"category":671,"image":868,"draft":568},"\u002Fblog\u002Fdownload-your-supabase-backup","Perché non puoi scaricare il tuo backup di Supabase","Non puoi scaricare il tuo backup di Supabase su un progetto recente, perché la copia giornaliera è uno snapshot fisico. Come verificarlo e tenere una copia tua.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":870,"title":871,"description":872,"published":867,"category":564,"image":873,"draft":568},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\": il grant mancante","Dal 30 ottobre una nuova tabella di Supabase risponde \"permission denied for table\" finché non concedi l'accesso. Il grant della mail è metà della soluzione.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":875,"title":876,"description":877,"published":878,"category":564,"image":879,"draft":568},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint API aperto è un problema di sicurezza? Leggi il JSON","La tua scansione ha segnalato un endpoint API aperto. Quanto conti dipende da che cosa è tornato, e la maggior parte di quelli trovati era della piattaforma.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":881,"title":882,"description":883,"published":884,"category":564,"image":885,"draft":568},"\u002Fblog\u002Flovable-security-scan","Scansione di sicurezza Lovable: cosa non può dimostrare","Scansione di sicurezza Lovable: cosa controllano Quick scan e Deep scan, quando parte ciascuno, e l’unica cosa che nessuna scansione dall’interno dimostra.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":887,"title":888,"description":889,"published":890,"category":671,"image":891,"draft":568},"\u002Fblog\u002Fsupabase-backup-auth-users","Perché nel tuo dump Supabase non ci sono utenti","Lancia supabase db dump da solo e ottieni la forma del tuo database e nessuna delle sue righe, senza lo schema auth in cui vivono i tuoi utenti.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":893,"title":894,"description":895,"published":896,"category":564,"image":897,"draft":568},"\u002Fblog\u002Fdomain-and-certificate-expiry","Dominio scaduto, sito offline: cosa succede adesso","Il tuo dominio è scaduto e il sito è offline. Il conto alla rovescia che parte, perché il certificato è il problema minore, e come controllarli entrambi.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":899,"title":900,"description":901,"published":902,"category":564,"image":903,"draft":568},"\u002Fblog\u002Fis-lovable-safe","Lovable è sicuro? Cosa abbiamo trovato in 18.554 app Lovable","Lovable è sicuro? Abbiamo passato 18.554 app Lovable online per nove controlli. La piattaforma è risultata la più pulita di cinque. I rilievi stavano nelle app.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":905,"title":906,"description":907,"published":908,"category":564,"image":909,"draft":568},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist di sicurezza del vibe coding, in nove controlli","Una checklist di sicurezza del vibe coding in nove voci, ognuna verificabile dall’esterno sulla tua app dal vivo, e ognuna con un test di una riga.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":911,"title":912,"description":913,"published":914,"category":564,"image":915,"draft":568},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Una chiave segreta Stripe nel frontend può muovere denaro","Una chiave segreta Stripe esposta nel tuo frontend può rimborsare, addebitare e leggere ogni scheda cliente che hai. La tua chiave pk_live_ ci sta bene.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":917,"title":918,"description":919,"published":920,"category":564,"image":921,"draft":568},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica","Variabili d’ambiente Vite esposte: la tua app ha fatto ciò che il prefisso chiedeva. VITE_ e NEXT_PUBLIC_ vogliono dire pubblica, e l’IA non sapeva il costo.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":923,"title":924,"description":925,"published":926,"category":564,"image":927,"draft":568},"\u002Fblog\u002Fbase44-source-maps","Sicurezza Base44: cosa segnala uno scan e cosa tocca a te sistemare","Sicurezza Base44 su 5.438 app scansionate: tre segnalazioni su quasi tutte sono della piattaforma, la source map è il badge di Base44, la tua parte è corta.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":929,"title":930,"description":931,"published":932,"category":564,"image":933,"draft":568},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI è sicuro? L’editor, il codice e l’app che hai pubblicato","Cursor AI è sicuro? Tre domande in una ricerca: cosa tiene Cursor, cosa sbaglia il codice che scrive, e se l’app che hai pubblicato è aperta.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":935,"title":936,"description":937,"published":938,"category":564,"image":939,"draft":568},"\u002Fblog\u002Fis-replit-safe","Replit è sicuro? Cosa abbiamo trovato in 3.042 app Replit online","Replit è sicuro? Abbiamo passato 3.042 app Replit online per nove controlli esterni. I rilievi stavano nell’app pubblicata, non nell’host.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":941,"title":942,"description":943,"published":944,"category":671,"image":945,"draft":568},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup: la copia del database non ha nessun file","Un Supabase storage backup è un lavoro a parte. I backup del database tengono la lista dei tuoi file e nessuno dei file, quindi ogni upload resta rotto.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":947,"title":948,"description":949,"published":950,"category":671,"image":951,"draft":568},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery di Supabase: prezzo e limiti","Il point-in-time recovery di Supabase riavvolge il database a qualsiasi secondo della settimana scorsa. $100 al mese oltre a Pro, e copre solo il database.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":953,"title":954,"description":955,"published":956,"category":671,"image":957,"draft":568},"\u002Fblog\u002Fsupabase-project-paused-recover","Progetto Supabase in pausa? I tuoi dati sono ancora lì","Supabase ha messo in pausa il tuo progetto dopo una settimana senza attività. Non è cancellato niente, Ripristina è accanto al nome e hai un anno di tempo.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":959,"title":960,"description":961,"published":962,"category":564,"image":963,"draft":568},"\u002Fblog\u002Fsafest-ai-app-builder","Qual è il builder di app con IA più sicuro? 30.998 app testate","Qual è il builder di app con IA più sicuro? Abbiamo scansionato 30.998 app online di Lovable, Base44, Replit, v0 e Bolt. Non è il builder a decidere il voto.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":965,"title":966,"description":967,"published":968,"category":564,"image":969,"draft":568},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Attiva Row Level Security su ogni tabella Supabase, poi verificalo","Attivare Row Level Security su Supabase senza una policy chiude del tutto la tabella. Una policy senza il flag non fa nulla. Ecco lo SQL, e la verifica.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":971,"title":972,"description":973,"published":974,"category":564,"image":975,"draft":568},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\": cosa non vede l'avviso","Supabase segnala \"RLS disabled in public\" come errore. Non dice nulla della policy di lettura che lascia la tua tabella altrettanto aperta.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":977,"title":978,"description":979,"published":980,"category":564,"image":981,"draft":568},"\u002Fblog\u002Frotate-supabase-service-role-key","Come ruotare una chiave service_role Supabase trapelata","Supabase dice di chiudere prima la falla. Altre guide dicono di ruotare subito. Quale sia giusto dipende da dove è finita la tua chiave service_role.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":983,"title":984,"description":985,"published":986,"category":564,"image":987,"draft":568},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanner di sicurezza per vibe coding a confronto, il nostro incluso","Il miglior scanner di sicurezza per vibe coding dipende da tre domande che nessun elenco di funzioni affronta. Otto strumenti a confronto, con i prezzi.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":989,"title":990,"description":991,"published":992,"category":564,"image":993,"draft":568},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker: i cinque controlli da fare da soli","Un Supabase security checker legge la tua app pubblicata invece delle impostazioni del progetto. Ecco i cinque controlli che esegue e come farli da solo.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":995,"title":996,"description":997,"published":998,"category":564,"image":999,"draft":568},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner di sicurezza per vibe coding: cosa si perde","Uno scanner di sicurezza per vibe coding legge la tua app dal vivo, da fuori. Cosa copre, le quattro cose che non può vedere e come leggere il risultato.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":1001,"title":1002,"description":1003,"published":1004,"category":564,"image":1005,"draft":568},"\u002Fblog\u002Fmissing-security-headers","Intestazioni di sicurezza mancanti: quando contano","Le intestazioni di sicurezza mancanti sono il rilievo che il nostro scanner stampa più spesso. Da cosa proteggono e quando sono la riga meno urgente.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1007,"title":1008,"description":1009,"published":1010,"category":564,"image":1011,"draft":568},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","La tua chiave API OpenAI è esposta nel frontend. Ruotala.","Una chiave API OpenAI esposta nel frontend non si può legare a nessun dominio. Ruotala oggi, sposta la chiamata sul tuo server e metti un tetto di spesa.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1013,"title":1014,"description":1015,"published":1016,"category":564,"image":1017,"draft":568},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Chiave API esposta nel frontend: cosa spediscono 30.998 app","Una chiave API esposta nel tuo frontend è quasi sempre una chiave di Google Maps. Abbiamo scansionato 30.998 app vibe-coded e contato cosa esce davvero.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1019,"title":1020,"description":1021,"published":1022,"category":671,"image":1023,"draft":568},"\u002Fblog\u002Fsupabase-backup-tools-compared","Strumenti di backup Supabase a confronto, il nostro incluso","Quattro tipi di strumento di backup Supabase, cosa copia davvero ognuno, e il caso in cui una GitHub Action gratuita batte il pagare chiunque, noi inclusi.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1025,"title":1026,"description":1027,"published":1028,"category":564,"image":1029,"draft":568},"\u002Fblog\u002Freplit-secrets-explained","Come usare i secret su Replit, e cosa viene comunque pubblicato","Come usare i secret su Replit: aggiungerne uno, rileggerlo e risolvere le due cause dell'undefined. E le chiavi che lo strumento non riesce a proteggere.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1031,"title":1032,"description":1033,"published":1034,"category":671,"image":1035,"draft":568},"\u002Fblog\u002Fback-up-supabase-free-tier","Backup del piano gratuito Supabase: farne uno senza terminale","Sul piano gratuito Supabase non esistono backup: la copia la fai tu. Come farne uno dalla dashboard e che cosa si lascia dietro la via del CSV.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1037,"title":1038,"description":1039,"published":1040,"category":564,"image":1041,"draft":568},"\u002Fblog\u002Fis-supabase-secure","Supabase è sicuro? Sì. Il tuo progetto è un'altra questione","Supabase è sicuro? La piattaforma è certificata, cifrata e sottoposta a pentest. La loro documentazione dice dove finisce quello e iniziano le tue impostazioni.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1043,"title":1044,"description":1045,"published":1046,"category":564,"image":1047,"draft":568},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Dove trovare le chiavi API di Supabase: anon, service_role e URL","L'URL del progetto, la chiave anon e la chiave service_role stanno su una pagina della dashboard. Ecco dove si trova e quale dei quattro va nella tua app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1049,"title":1050,"description":1051,"published":1052,"category":564,"image":1053,"draft":568},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy su Supabase. E adesso?","\"New row violates row-level security policy\" significa che Supabase ha rifiutato una scrittura. La soluzione veloce riapre la tabella a chiunque.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1055,"title":1056,"description":1057,"published":1058,"category":564,"image":1059,"draft":568},"\u002Fblog\u002Fcors-wildcard-security-risk","Un wildcard CORS è un rischio di sicurezza? Quasi mai.","Un wildcard CORS è un rischio di sicurezza? Di solito è il valore predefinito del tuo builder e non consegna nulla che il tuo server non desse già a chiunque.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1061,"title":1062,"description":1063,"published":1064,"category":671,"image":1065,"draft":568},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Il branching di Supabase non è un backup. Va solo in avanti.","Perché il branching di Supabase non è un backup: un branch parte senza i tuoi dati e un merge sposta solo lo schema. A cosa serve davvero e cosa usare invece.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1067,"title":1068,"description":1069,"published":1070,"category":671,"image":1071,"draft":568},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Come ripristinare un backup Supabase, e cosa si rompe dopo","Come ripristinare un backup Supabase dalla dashboard o da un file di dump, che cosa sostituisce il ripristino e perché la tua app può restare rotta lo stesso.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1073,"title":1074,"description":1075,"published":1076,"category":564,"image":1077,"draft":568},"\u002Fblog\u002Fsupabase-storage-bucket-public","Il tuo bucket Supabase Storage è pubblico. È un problema?","Un bucket Supabase Storage pubblico significa che chi ha l'URL di un file può aprirlo. Non significa che qualcuno possa elencare quello che c'è dentro.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1079,"title":1080,"description":1081,"published":1082,"category":564,"image":1083,"draft":568},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Una chiave API Google nel frontend è un problema?","Una chiave API Google esposta nel frontend è la chiave che il nostro scanner trova più spesso, e di solito va bene così. Lo decide una impostazione gratuita.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1085,"title":1086,"description":1087,"published":1088,"category":671,"image":1089,"draft":568},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agente IA ha cancellato i miei dati Supabase. Cosa recupero?","Un agente IA ha cancellato dati dal tuo database. Quello che puoi recuperare era già deciso prima che partisse, e i prossimi minuti decidono il resto.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1091,"title":1092,"description":1093,"published":1094,"category":564,"image":1095,"draft":568},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Chiunque può leggere il tuo database Supabase? 3.680 app testate","Chiunque può leggere il tuo database Supabase senza fare login? Abbiamo scansionato 30.998 app online create con i builder IA e misurato quante rispondono sì.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1097,"title":1098,"description":1099,"published":1094,"category":564,"image":1100,"draft":568},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source map esposte: la tua app sta pubblicando il codice originale","Una source map esposta permette a chiunque di leggere il codice originale della tua app, commenti inclusi. Il controllo da 30 secondi e cosa conta davvero.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1102,"title":1103,"description":1104,"published":1105,"category":564,"image":1106,"draft":568},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key: è la stessa della anon key?","Supabase ha sostituito anon e service_role con chiavi pubblicabili e segrete. Quale sta bene nella tua app, e quale non deve starci mai?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1108,"title":1109,"description":1110,"published":1111,"category":671,"image":1112,"draft":568},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase fa il backup del mio database? Dipende dal tuo piano.","Supabase fa il backup del tuo database? Ogni giorno sui piani a pagamento, mai su quello gratuito. Come capire cosa hai e cosa quella copia non copre.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1114,"title":1115,"description":1116,"published":1117,"category":564,"image":1118,"draft":568},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security è attivo. La tabella resta pubblica.","Attivare Supabase Row Level Security non protegge una tabella. Lo fanno le policy, e quella che ha rimesso in piedi la tua app può far entrare chiunque.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1120,"title":1121,"description":1122,"published":1117,"category":671,"image":1123,"draft":568},"\u002Fblog\u002Fversion-history-is-not-a-backup","La cronologia delle versioni non è un backup dei tuoi dati.","Lovable e Bolt tengono una cronologia delle versioni del codice. Il tuo database è un servizio a parte, e tornare indietro non ti restituisce i dati.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1125,"title":1126,"description":1127,"published":1128,"category":671,"image":1129,"draft":568},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Tre modi per fare il backup di un database Supabase, e cosa manca","Il pannello, pg_dump e un servizio gestito. Che cosa salva davvero ciascuno, cosa lascia fuori senza dirlo e quale sopravvive alla perdita dell'account.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":1131,"title":1132,"description":1133,"published":1128,"category":564,"image":1134,"draft":568},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quali chiavi API sono sicure nel browser e quali no","La tua chiave anon di Supabase è fatta per essere pubblica. La chiave service_role no, e ignora ogni regola che imposti. Come distinguerle.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213651603]