[{"data":1,"prerenderedAt":1269},["ShallowReactive",2],{"blog-it-supabase-users-logged-out":3,"blog-index-it":740},{"id":4,"title":5,"body":6,"category":699,"cover":700,"coverAlt":701,"description":702,"draft":703,"extension":704,"faq":705,"image":721,"keywords":722,"meta":729,"navigation":730,"ogTitle":5,"path":731,"published":732,"seo":733,"stem":734,"tldr":735,"updated":732,"__hash__":739},"blog_it\u002Fblog\u002Fsupabase-users-logged-out.md","Supabase \"Invalid Refresh Token: Refresh Token Not Found\": 3 cause",{"type":7,"value":8,"toc":684},"minimark",[9,13,24,27,35,40,43,62,84,110,114,117,126,217,225,229,232,238,260,266,270,291,294,297,303,306,311,315,327,340,358,363,369,373,376,398,413,416,420,426,429,433,451,454,512,519,525,528,532,535,561,570,576,580,583,592,610,619,639,643,678],[10,11,12],"p",{},"I tuoi utenti ti scrivono per dirti che sono stati disconnessi. Uno era a metà di\nun modulo, e un'altra è sicura di non aver toccato niente. Quando provi l'app tu\nstesso, funziona. Poi apri i log e trovi la stessa riga, ancora e ancora:",[14,15,20],"pre",{"className":16,"code":18,"language":19},[17],"language-text","AuthApiError: Invalid Refresh Token: Refresh Token Not Found\n","text",[21,22,18],"code",{"__ignoreMap":23},"",[10,25,26],{},"Supabase \"Invalid Refresh Token: Refresh Token Not Found\" è Supabase Auth, la\nparte di Supabase che fa accedere le persone, che dice di non avere traccia del\ntoken che la tua app ha inviato per tenere aperta una sessione. Senza più niente\nda rinnovare, la tua app disconnette l'utente.",[10,28,29,30,34],{},"Ecco la parte che è facile capire al contrario: ",[31,32,33],"strong",{},"questo errore è l'ultimo\npasso, e la causa è arrivata prima."," Quando Supabase non trova più il token, la\nsessione a cui apparteneva è già finita. L'ha chiusa un logout, un token inviato\ndue volte o un limite che qualcuno ha impostato. Far durare di più l'access\ntoken, o spegnere il controllo che chiude una sessione, rende la riga più rara\nnei log e lascia la causa esattamente dov'era.",[36,37,39],"h2",{"id":38},"che-cosa-significa-invalid-refresh-token-refresh-token-not-found","Che cosa significa \"Invalid Refresh Token: Refresh Token Not Found\"?",[10,41,42],{},"Significa che Supabase Auth ha ricevuto un refresh token di cui non ha traccia,\ne quindi si è rifiutato di rinnovare la sessione.",[10,44,45,46,49,50,53,54,61],{},"Ogni utente connesso ha due token. L'",[31,47,48],{},"access token"," funziona come un\nbraccialetto: dimostra chi è per un po', un'ora se non hai cambiato\nl'impostazione, e la tua app lo mostra a ogni richiesta. Il ",[31,51,52],{},"refresh token"," è\nun biglietto. Prima che il braccialetto scada, la tua app porta il biglietto allo\nsportello, che è Supabase Auth, e lo cambia con un braccialetto nuovo e un\nbiglietto nuovo. La ",[55,56,60],"a",{"href":57,"rel":58},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fsessions",[59],"nofollow","guida alle sessioni","\ndi Supabase dice che i refresh token \"never expire but can only be used once\".",[10,63,64,67,68,71,72,77,78,83],{},[21,65,66],{},"Refresh Token Not Found"," è lo sportello che cerca un biglietto e non trova\nniente. Il server risponde con HTTP 400 e il codice ",[21,69,70],{},"refresh_token_not_found",",\nche l'",[55,73,76],{"href":74,"rel":75},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fdebugging\u002Ferror-codes",[59],"elenco dei codici di errore di Auth","\ndi Supabase descrive come \"Session containing the refresh token not found.\" Se\nanche il braccialetto è scaduto,\n",[55,79,82],{"href":80,"rel":81},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fsupabase-js\u002Fblob\u002Fmaster\u002Fpackages\u002Fcore\u002Fauth-js\u002Fsrc\u002FGoTrueClient.ts",[59],"il client JavaScript di Supabase","\ntoglie la sessione dal browser e comunica alla tua app che l'utente è uscito. È\nil momento in cui il tuo utente si ritrova davanti alla pagina di accesso.",[10,85,86,87,91,92,95,96,100,101,104,105,109],{},"Nessuno dei due token è una delle chiavi API del tuo progetto, che sono un'altra\nquestione:\n",[55,88,90],{"href":89},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","quali di quelle vanno nella tua app",".\nSe il tuo messaggio dice invece ",[21,93,94],{},"Invalid JWT",", è stato rifiutato il braccialetto\ne non il biglietto, e\n",[55,97,99],{"href":98},"\u002Fblog\u002Fsupabase-invalid-jwt","quell'errore ha una pagina sua",".\nSe poi la persona non riesce a rientrare e il modulo di accesso dice\n",[21,102,103],{},"Invalid login credentials",",\n",[55,106,108],{"href":107},"\u002Fblog\u002Fsupabase-invalid-login","quel messaggio copre tre persone diverse",".",[36,111,113],{"id":112},"perché-i-miei-utenti-supabase-vengono-disconnessi","Perché i miei utenti Supabase vengono disconnessi?",[10,115,116],{},"Perché la sessione dietro il loro biglietto è finita, e il braccialetto che\nportano ancora li ha tenuti connessi finché non è scaduto. Quel ritardo, fino a\nun'ora con l'impostazione predefinita, è il motivo per cui le disconnessioni\nsembrano casuali: l'utente viene buttato fuori un po' dopo la fine della\nsessione.",[10,118,119,120,125],{},"Supabase Auth ha quattro modi per dire che un biglietto non vale, e ognuno indica\nuna causa diversa. Questi sono i messaggi esatti presi dal\n",[55,121,124],{"href":122,"rel":123},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Ftokens\u002Fservice.go",[59],"codice del server di Supabase Auth",":",[127,128,129,145],"table",{},[130,131,132],"thead",{},[133,134,135,139,142],"tr",{},[136,137,138],"th",{},"Il messaggio nel tuo log",[136,140,141],{},"Il codice",[136,143,144],{},"Che cosa è successo",[146,147,148,163,178,202],"tbody",{},[133,149,150,156,160],{},[151,152,153],"td",{},[21,154,155],{},"Invalid Refresh Token: Refresh Token Not Found",[151,157,158],{},[21,159,70],{},[151,161,162],{},"Lo sportello non ha traccia di questo biglietto. Un logout ha chiuso la sua sessione, oppure è stato cambiato così tanto tempo fa che la sua traccia non c'è più.",[133,164,165,170,175],{},[151,166,167],{},[21,168,169],{},"Invalid Refresh Token: Already Used",[151,171,172],{},[21,173,174],{},"refresh_token_already_used",[151,176,177],{},"Il biglietto è stato cambiato più di dieci secondi fa ed è tornato. Supabase chiude allora l'intera sessione.",[133,179,180,194,199],{},[151,181,182,185,186,189,190,193],{},[21,183,184],{},"Invalid Refresh Token: Session Expired",", a volte con ",[21,187,188],{},"(Inactivity)"," o ",[21,191,192],{},"(Revoked by Newer Login)"," dopo",[151,195,196],{},[21,197,198],{},"session_expired",[151,200,201],{},"L'ha chiusa un limite di sessione nelle impostazioni di Auth.",[133,203,204,209,214],{},[151,205,206],{},[21,207,208],{},"Invalid Refresh Token: No Valid Session Found",[151,210,211],{},[21,212,213],{},"session_not_found",[151,215,216],{},"La sessione a cui apparteneva il biglietto non esiste più.",[10,218,219,220,224],{},"Dietro questi messaggi ci sono tre cause, secondo la documentazione di Supabase\ne le segnalazioni sui suoi issue tracker, e ognuna ha la sua correzione. Se\nnessuno riesce più ad accedere, o l'intera app è vuota, è un altro problema, e\n",[55,221,223],{"href":222},"\u002Fblog\u002Fis-supabase-down-or-your-app","Supabase è giù, o è la tua app?"," è da dove\npartire.",[36,226,228],{"id":227},"un-refresh-token-funziona-una-volta","Un refresh token funziona una volta",[10,230,231],{},"Ogni volta che la tua app rinnova una sessione, consegna il biglietto e lo\nsportello strappa quello vecchio. Supabase lo chiama rotazione dei refresh token.\nIl biglietto vecchio funziona ancora per dieci secondi, quello che la guida alle\nsessioni chiama reuse interval, perché un server e un browser che rinnovano quasi\nnello stesso momento non si buttino fuori a vicenda. Anche un client che ha\ncambiato il biglietto e ha perso la risposta per una connessione scadente è\ncoperto: riceve indietro il biglietto attuale.",[10,233,234,235,109],{},"Fuori da questi due casi, un biglietto vecchio che torna conta come segnale\nd'allarme, perché un token che si presenta due volte è quello che sembra un token\nrubato. La guida dice che l'intera sessione \"is regarded as terminated and all\nrefresh tokens belonging to it are marked as revoked\". La risposta, quella volta,\nè ",[21,236,237],{},"Already Used",[10,239,240,241,243,244,247,248,253,254,256,257,259],{},"Un passo in più trasforma ",[21,242,237],{}," in ",[21,245,246],{},"Not Found",". Il server di Supabase\nAuth\n",[55,249,252],{"href":250,"rel":251},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fauth\u002Fblob\u002Fmaster\u002Finternal\u002Fmodels\u002Fcleanup.go",[59],"cancella le tracce dei biglietti strappati","\n24 ore dopo la loro revoca. Così il biglietto scaduto che oggi riceve\n",[21,255,237],{}," domani riceve ",[21,258,66],{},", perché lo sportello non\nha più la traccia con cui confrontarlo.",[261,262],"diagram",{"alt":263,"caption":264,"src":265},"Una linea del tempo per un biglietto. Prima viene cambiato allo sportello con un braccialetto nuovo e un biglietto nuovo, e quello vecchio viene strappato. Mostrato di nuovo entro 10 secondi, viene ancora accettato. Più tardi lo stesso giorno viene rifiutato come già usato. Dopo 24 ore, il registro dello sportello ha una riga vuota dove c'era la sua traccia.","Un biglietto in quattro momenti. Entro dieci secondi funziona ancora. Dopo viene rifiutato come già usato, e quando la sua traccia viene cancellata un giorno dopo, lo sportello non lo trova più.","\u002Fblog\u002Fsupabase-users-logged-out\u002Fone-ticket-four-moments-1600x700.png",[36,267,269],{"id":268},"causa-1-qualcuno-è-uscito-su-questo-dispositivo-o-su-un-altro","Causa 1: qualcuno è uscito, su questo dispositivo o su un altro",[10,271,272,273,276,277,280,281,286,287,290],{},"Un logout cancella la sessione dalla parte dello sportello, e ogni biglietto di\nquella sessione diventa uno che lo sportello non trova. Nel client JavaScript di\nSupabase, ",[21,274,275],{},"signOut()"," senza niente tra le parentesi chiude ",[31,278,279],{},"tutte"," le sessioni\ndi quell'utente, su tutti i dispositivi. La\n",[55,282,285],{"href":283,"rel":284},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fsignout",[59],"guida al logout"," di Supabase lo\ndice in modo diretto: con quell'impostazione predefinita, le altre sessioni\nfalliscono con ",[21,288,289],{},"AuthApiError: Invalid Refresh Token: Refresh Token Not Found"," la\nprossima volta che provano a rinnovarsi, \"even though no one signed out on that\ndevice.\"",[10,292,293],{},"Così un utente che esce dal telefono viene disconnesso anche sul portatile, fino\na un'ora dopo, quando il braccialetto del portatile scade e il suo biglietto\ntorna come sconosciuto. Dal suo punto di vista, la tua app l'ha buttato fuori\nsenza motivo.",[10,295,296],{},"Se ogni dispositivo deve restare connesso per conto suo, la chiamata di logout\ndeve chiudere solo la sessione da cui parte:",[14,298,301],{"className":299,"code":300,"language":19},[17],"await supabase.auth.signOut({ scope: 'local' })\n",[21,302,300],{"__ignoreMap":23},[10,304,305],{},"Chiedi al tuo builder di usare questa forma ovunque la tua app faccia uscire le\npersone. L'altro modo comune di chiudere una sessione è un cambio di password,\nche la guida alle sessioni di Supabase elenca tra le cose che ne chiudono una.",[261,307],{"alt":308,"caption":309,"src":310},"Due pannelli. In quello a sinistra un telefono esce con signOut() e i biglietti di telefono, portatile e tablet sono tutti strappati. In quello a destra il telefono esce con scope local, e solo il biglietto del telefono è strappato, mentre portatile e tablet tengono i loro.","Senza scope, un solo logout chiude la sessione su tutti i dispositivi. Con scope local, chiude solo quella del dispositivo che hai in mano.","\u002Fblog\u002Fsupabase-users-logged-out\u002Fone-sign-out-every-device-1600x720.png",[36,312,314],{"id":313},"causa-2-il-biglietto-nuovo-non-è-mai-arrivato-al-browser","Causa 2: il biglietto nuovo non è mai arrivato al browser",[10,316,317,318,321,322,324,325,109],{},"Se la tua app genera le pagine su un server, come fa un'app Next.js, anche quel\nserver rinnova le sessioni. Legge il biglietto da un cookie, lo cambia allo\nsportello e deve rimandare il biglietto nuovo al browser in un header\n",[21,319,320],{},"Set-Cookie"," della sua risposta. Quando quel cookie non arriva, il browser tiene\nil biglietto vecchio, e la richiesta successiva presenta un biglietto che il\nserver ha già cambiato. Entro dieci secondi passa. Dopo è ",[21,323,237],{}," e la\nsessione finisce, e un giorno dopo lo stesso biglietto è ",[21,326,246],{},[10,328,329,330,335,336,339],{},"La\n",[55,331,334],{"href":332,"rel":333},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fauth\u002Fserver-side\u002Fcreating-a-client",[59],"guida di Supabase per creare un client server","\nnomina l'errore che provoca tutto questo in un'app Next.js. Il codice che rinnova\nla sessione, che Next.js 16 chiama Proxy e le versioni precedenti middleware,\ndeve restituire la risposta in cui sono stati scritti i cookie nuovi: \"An earlier\nresponse doesn't carry the refreshed cookies, so the user is signed out on the\nnext request.\" La stessa guida avverte che in Next.js 15 e precedenti un file\nchiamato ",[21,337,338],{},"proxy.ts"," non viene mai eseguito, \"so sessions never refresh and users\nget signed out\". Un assistente che lavora con la documentazione più recente può\nscrivere proprio quel file in un'app più vecchia.",[10,341,342,343,351,352,357],{},"La guida di Supabase dice anche perché questa è difficile da trovare: \"it looks\nlike users being signed out at random rather than an error in your code.\" Le\nsegnalazioni suonano allo stesso modo. Uno sviluppatore ha scritto\nsull'",[55,344,347,348],{"href":345,"rel":346},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fssr\u002Fissues\u002F68",[59],"issue tracker di ",[21,349,350],{},"@supabase\u002Fssr","\n\"I'm inadvertently logged out of my web application every day\", e l'ingegnere di\nSupabase che ha risposto ha indicato il modo in cui il middleware passava la sua\nrisposta. La\n",[55,353,356],{"href":354,"rel":355},"https:\u002F\u002Fgithub.com\u002Fsupabase\u002Fsupabase-swift\u002Fissues\u002F486",[59],"segnalazione di un'app iOS","\ndescrive la disconnessione che arriva \"2-3 days after logging in\", ed è stata\nchiusa dopo che alcuni aggiornamenti alla libreria Swift di Supabase hanno fatto\ncalare le segnalazioni.",[261,359],{"alt":360,"caption":361,"src":362},"Un browser manda il suo biglietto a un server. Il server lo cambia allo sportello e ne riceve uno nuovo. La risposta che deve riportare il biglietto nuovo al browser si interrompe prima di arrivare, quindi il browser manda di nuovo il biglietto vecchio, e lo sportello lo rifiuta come già usato.","Il server ha rinnovato la sessione, e il biglietto nuovo non è mai tornato. Il browser tiene ancora quello già cambiato.","\u002Fblog\u002Fsupabase-users-logged-out\u002Fnew-ticket-lost-1600x640.png",[10,364,365,366,368],{},"Per controllare, apri gli strumenti per sviluppatori del browser su una pagina\nche ha rinnovato la sessione e guarda la risposta nella scheda Network. Dovrebbe\nportare un ",[21,367,320],{}," con il token nuovo, e la richiesta successiva dovrebbe\nrimandare indietro quel token.",[36,370,372],{"id":371},"causa-3-un-limite-di-sessione-nelle-impostazioni-di-auth","Causa 3: un limite di sessione nelle impostazioni di Auth",[10,374,375],{},"Dal piano Pro in su, Supabase può chiudere le sessioni di proposito, dalla\npagina Sessions delle impostazioni di Auth del tuo progetto. Ci sono tre limiti,\ne la guida alle sessioni li descrive tutti:",[377,378,379,386,392],"ul",{},[380,381,382,385],"li",{},[31,383,384],{},"Le sessioni a tempo"," finiscono dopo un tempo fisso, per quanto l'utente sia\nattivo.",[380,387,388,391],{},[31,389,390],{},"Un timeout di inattività"," chiude una sessione che non viene rinnovata da un\npo'.",[380,393,394,397],{},[31,395,396],{},"Una sola sessione per utente"," tiene solo l'accesso più recente, quindi\nentrare dal telefono chiude la sessione sul portatile.",[10,399,400,401,404,405,407,408,410,411,109],{},"Questi lo dicono nel loro messaggio, ",[21,402,403],{},"Session Expired",", con ",[21,406,188],{}," o\n",[21,409,192],{}," dopo, per il secondo e il terzo. La guida aggiunge che\nle sessioni chiuse vengono cancellate 24 ore dopo, quindi un biglietto di una di\nqueste che torna dopo quel termine riceve invece ",[21,412,246],{},[10,414,415],{},"Se hai impostato uno di questi, le disconnessioni sono l'impostazione che fa il\nsuo lavoro. Se non era voluto, o l'ha attivato per te un modello o un\nassistente, la pagina mostra quale limite è attivo.",[36,417,419],{"id":418},"il-caso-innocuo","Il caso innocuo",[10,421,422,423,425],{},"Un biglietto di una sessione già finita, che torna da una vecchia scheda o da un\nbrowser che nessuno apriva da settimane, riceve anche lui\n",[21,424,66],{},". La persona dietro era già disconnessa. Il suo browser\nha chiesto una volta, Supabase ha detto di no, e lei vede la tua pagina di\naccesso, cioè quello che avrebbe visto comunque.",[10,427,428],{},"In un log appare così: una riga per un utente, spesso poco dopo che quell'utente\nè uscito da qualche parte, e poi più niente per lui. Righe così sono l'errore che\nfa il suo lavoro. Quelle da seguire sono le stesse persone di continuo, o tante\npersone diverse nello stesso giorno.",[36,430,432],{"id":431},"come-leggere-i-log-di-auth-per-questo","Come leggere i log di Auth per questo",[10,434,435,436,439,440,443,444,446,447,450],{},"Apri ",[31,437,438],{},"Logs"," nella dashboard di Supabase, scegli il tipo di log ",[31,441,442],{},"Auth"," e cerca\n",[21,445,52],{}," nei messaggi degli eventi. Seleziona una riga per vederne i\ndettagli, compreso l'ID dell'utente, e il filtro ",[31,448,449],{},"User"," riduce poi l'elenco a\nquella sola persona. Quanto indietro vanno i log dipende dal tuo piano, quindi\nleggili finché le lamentele sono recenti.",[10,452,453],{},"Poi leggi che cosa si ripete:",[127,455,456,466],{},[130,457,458],{},[133,459,460,463],{},[136,461,462],{},"Che cosa vedi nel log di Auth",[136,464,465],{},"A che cosa rimanda",[146,467,468,479,489,502],{},[133,469,470,476],{},[151,471,472,473,475],{},"Un ",[21,474,66],{}," per un utente, e niente dopo",[151,477,478],{},"Una vecchia scheda o un browser che torna. Innocuo.",[133,480,481,486],{},[151,482,483,485],{},[21,484,66],{}," per un utente poco dopo che è uscito altrove",[151,487,488],{},"Causa 1, un logout che ha chiuso tutti i dispositivi",[133,490,491,499],{},[151,492,493,495,496,498],{},[21,494,237],{},", poi ",[21,497,66],{}," un giorno dopo, per gli stessi utenti, di continuo",[151,500,501],{},"Causa 2, biglietti nuovi che non arrivano al browser",[133,503,504,509],{},[151,505,506,508],{},[21,507,403],{},", con un motivo tra parentesi",[151,510,511],{},"Causa 3, un limite di sessione",[10,513,514,515,518],{},"Puoi anche chiedere al database quanto spesso le persone accedono. Ogni accesso\naggiunge una riga a ",[21,516,517],{},"auth.sessions",", e un logout la cancella. Incolla questo nel\nSQL Editor:",[14,520,523],{"className":521,"code":522,"language":19},[17],"select user_id, count(*) as sessions, max(created_at) as latest\nfrom auth.sessions\nwhere created_at > now() - interval '14 days'\ngroup by user_id\norder by sessions desc\nlimit 20;\n",[21,524,522],{"__ignoreMap":23},[10,526,527],{},"Un utente con molte più sessioni dei dispositivi che ha è entrato di continuo\nsenza mai uscire, ed è quello che fa chi viene buttato fuori dalla tua app in\ncontinuazione.",[36,529,531],{"id":530},"che-cosa-non-cambiare-mentre-lo-correggi","Che cosa non cambiare mentre lo correggi",[10,533,534],{},"Le tue regole di Row Level Security, il rilevamento del riutilizzo e la durata\ndell'access token. Tutti e tre sembrano una correzione e lasciano la causa dov'è,\ne allentare il primo può aprire i tuoi dati agli sconosciuti.",[10,536,537,540,541,544,545,550,552,553,556,557,109],{},[31,538,539],{},"Lascia stare le tue regole di Row Level Security."," Row Level Security è\nl'insieme di regole che decide quali righe riceve ogni visitatore. Finché gli\nutenti vengono buttati fuori, ogni schermata la cui regola legge ",[21,542,543],{},"auth.uid()","\nresta vuota per loro, perché secondo la\n",[55,546,549],{"href":547,"rel":548},"https:\u002F\u002Fsupabase.com\u002Fdocs\u002Fguides\u002Fdatabase\u002Fpostgres\u002Frow-level-security",[59],"documentazione di Supabase",[21,551,543],{}," restituisce ",[21,554,555],{},"null"," quando la sessione è scaduta. La correzione\nallettante è allentare quella regola finché la schermata non si riempie di nuovo,\ne a quel punto si riempie anche per gli sconosciuti. Se qualcuno l'ha già fatto,\nla nostra scansione gratuita chiede a ogni tabella che la tua app nomina quante\nrighe riceverebbe un visitatore senza login, legge il numero senza scaricare una\nsola riga e richiede circa 20 secondi, senza account:\n",[55,558,560],{"href":559},"\u002Fsecurity-scanner","scansiona la tua app",[10,562,563,566,567,569],{},[31,564,565],{},"Lascia attivo il rilevamento del riutilizzo."," Supabase ti permette di\nspegnerlo, nelle impostazioni avanzate della pagina Sessions, e lo definisce\n\"generally not recommended\". Una volta spento, la causa 2 non produce più\n",[21,568,237],{},", e il biglietto nuovo continua a non arrivare al browser.",[10,571,572,575],{},[31,573,574],{},"Tieni l'access token a un'ora."," Un braccialetto più lungo rimanda la\ndisconnessione e lascia la sua causa dov'è. La guida di Supabase dice che\nimpostarlo oltre un'ora è \"generally discouraged for security reasons\".",[36,577,579],{"id":578},"tenere-stabili-gli-accessi-dopo-la-correzione","Tenere stabili gli accessi dopo la correzione",[10,581,582],{},"Due cose possono ancora andare storte quando le disconnessioni si fermano: una\nmodifica successiva le riporta, e una regola allentata lungo la strada lascia una\ntabella aperta agli sconosciuti.",[10,584,585],{},[31,586,587,591],{},[55,588,590],{"href":589},"\u002Fwebsite-monitoring","Reeve Monitor"," continua a controllare da fuori:",[377,593,594,597,600,607],{},[380,595,596],{},"se la tua app è online, controllato ogni minuto, così un'ondata di messaggi \"mi ha disconnesso\" non viene scambiata per un guasto",[380,598,599],{},"il controllo di sicurezza completo ogni ora, su un massimo di tre app",[380,601,602,603,606],{},"un messaggio quando un risultato ",[31,604,605],{},"cambia",", così una regola allentata durante una correzione non aspetta che tu guardi",[380,608,609],{},"un report mensile, in linguaggio semplice, di ciò che ha visto",[10,611,612],{},[31,613,614,618],{},[55,615,617],{"href":616},"\u002Fsupabase-backups","Reeve Care"," tiene una copia del tuo database Supabase:",[377,620,621,624,627,630,633,636],{},[380,622,623],{},"una copia cifrata secondo una pianificazione, sullo spazio di archiviazione di Reeve nell'UE, fuori dal tuo account Supabase",[380,625,626],{},"lo schema auth in cui vivono gli account dei tuoi utenti, così tornano insieme a tutto il resto",[380,628,629],{},"ogni copia verificata prima che conti, contando le righe di ogni tabella",[380,631,632],{},"anche i tuoi file caricati, appena colleghi una credenziale di Storage",[380,634,635],{},"un ripristino in un clic, con una copia di sicurezza dello stato attuale presa prima",[380,637,638],{},"tutto quello che fa Monitor",[36,640,642],{"id":641},"che-cosa-fare-adesso","Che cosa fare adesso",[644,645,646],"key-takeaways",{},[377,647,648,654,660,666,669,672],{},[380,649,650,651,653],{},"Cerca ",[21,652,52],{}," nei log di Auth e leggi quale messaggio si ripete, e per chi.",[380,655,656,657,109],{},"Se un logout su un dispositivo chiude gli altri, cambialo in ",[21,658,659],{},"signOut({ scope: 'local' })",[380,661,662,663,665],{},"Se la tua app genera le pagine su un server, assicurati che la risposta che ha rinnovato una sessione sia quella che arriva al browser, e cerca il suo ",[21,664,320],{}," nella scheda Network.",[380,667,668],{},"Guarda nella pagina Sessions delle impostazioni di Auth se c'è un limite di tempo, un timeout di inattività o una sola sessione per utente che nessuno voleva attivare.",[380,670,671],{},"Lascia Row Level Security, il rilevamento del riutilizzo e la durata dell'access token come sono mentre correggi.",[380,673,674,675,677],{},"Tratta un ",[21,676,246],{}," per utente come rumore, e gli stessi utenti ogni giorno come un bug.",[10,679,680,681,683],{},"Comincia dal log di Auth, perché il messaggio che si ripete ti dice quale delle\ntre cause hai. Poi, quando le persone restano connesse,\n",[55,682,560],{"href":559}," per controllare che niente sia stato\nallentato lungo la strada.",{"title":23,"searchDepth":685,"depth":685,"links":686},3,[687,689,690,691,692,693,694,695,696,697,698],{"id":38,"depth":688,"text":39},2,{"id":112,"depth":688,"text":113},{"id":227,"depth":688,"text":228},{"id":268,"depth":688,"text":269},{"id":313,"depth":688,"text":314},{"id":371,"depth":688,"text":372},{"id":418,"depth":688,"text":419},{"id":431,"depth":688,"text":432},{"id":530,"depth":688,"text":531},{"id":578,"depth":688,"text":579},{"id":641,"depth":688,"text":642},"Basi della sicurezza","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcover-1200x630.png","Un biglietto strappato in due, la metà sinistra illuminata e la destra spenta che cade, davanti a una fila di biglietti interi.","Supabase \"Invalid Refresh Token: Refresh Token Not Found\" disconnette i tuoi utenti. Tre cause, e come il log di Auth le distingue.",false,"md",[706,709,712,715,718],{"q":707,"a":708},"Perché i miei utenti Supabase vengono disconnessi a caso?","Perché la sessione dietro il loro refresh token è finita, e l'access token che hanno ancora li tiene connessi fino a un'ora, quindi la disconnessione arriva dopo la sua causa. I motivi più comuni sono un logout su un altro dispositivo, un token rinnovato che non è mai arrivato al browser e un limite di sessione nelle impostazioni di Auth. Il log di Auth mostra quale.",{"q":710,"a":711},"Che cos'è un refresh token?","È la metà duratura di una sessione Supabase. L'access token dimostra chi è l'utente per un'ora per impostazione predefinita, e prima che scada la tua app scambia il refresh token con una coppia nuova. Ogni refresh token funziona una volta, e quello vecchio smette di funzionare dieci secondi dopo lo scambio.",{"q":713,"a":714},"\"Refresh Token Not Found\" è il segno di un attacco?","Da solo, no. Significa che Supabase Auth ha rifiutato un token di cui non ha traccia, che è la risposta giusta. La protezione contro un token rubato è il rilevamento del riutilizzo, che chiude una sessione quando torna un token vecchio, e Supabase consiglia di lasciarlo attivo.",{"q":716,"a":717},"Perché succede solo in produzione?","Perché quasi tutte le cause hanno bisogno di tempo o di un secondo dispositivo. Un token scaduto viene rifiutato come già usato il primo giorno e come non trovato quando la sua traccia viene cancellata un giorno dopo, e una sessione aperta mentre costruisci di rado dura tanto. Gli utenti veri, poi, accedono da più dispositivi, ed è lì che si vede un logout che chiude tutte le sessioni.",{"q":719,"a":720},"Quanto dura una sessione Supabase?","Per impostazione predefinita, finché l'utente non esce. L'access token dura un'ora se non lo cambi, e il refresh token non scade mai ma funziona una volta sola. Dal piano Pro in su puoi limitare le sessioni per durata totale, per inattività o a una per utente, nella pagina Sessions delle impostazioni di Auth.","\u002Fblog\u002Fsupabase-users-logged-out\u002Fcard-800x500.png",[723,724,70,725,726,727,728],"invalid refresh token refresh token not found","supabase invalid refresh token","supabase utenti disconnessi","supabase refresh token already used","supabase session expired","supabase ssr errore refresh token",{},true,"\u002Fblog\u002Fsupabase-users-logged-out","2026-10-19",{"title":5,"description":702},"blog\u002Fsupabase-users-logged-out",[736,737,738],"Supabase \"Invalid Refresh Token: Refresh Token Not Found\" significa che Supabase Auth non ha traccia del refresh token inviato dalla tua app, quindi la sessione non può essere rinnovata e l'utente viene disconnesso.","Tre cose cancellano quella traccia: un logout (che in JavaScript chiude tutti i dispositivi per impostazione predefinita), un token già usato che arriva una seconda volta e un limite di sessione nelle impostazioni di Auth.","In parte è una riga innocua da una vecchia scheda. In parte disconnette tutti i tuoi utenti ogni giorno. Il log di Auth ti dice quale, e ogni causa ha la sua correzione.","aj0pVXfnCFJr5EUsDF8CzrvJ7LpZOi6QanZYnyAFEkQ",[741,747,753,759,765,771,777,783,789,795,801,808,814,819,825,831,837,843,849,855,861,867,868,874,880,885,891,897,903,909,915,921,927,933,939,945,951,957,963,969,974,980,986,992,998,1004,1009,1015,1021,1027,1033,1039,1045,1051,1057,1063,1069,1075,1081,1087,1093,1099,1105,1111,1117,1123,1129,1135,1141,1147,1153,1159,1165,1171,1177,1183,1189,1195,1201,1207,1213,1219,1225,1231,1236,1242,1248,1254,1259,1265],{"path":742,"title":743,"description":744,"published":745,"category":699,"image":746,"draft":703},"\u002Fblog\u002Fmax-client-connections-reached","Supabase \"max client connections reached\", spiegato","Supabase \"max client connections reached\": il pooler non ha posto per un altro client. La porta nella tua stringa di connessione decide il limite.","2026-11-09","\u002Fblog\u002Fmax-client-connections-reached\u002Fcard-800x500.png",{"path":748,"title":749,"description":750,"published":751,"category":699,"image":752,"draft":703},"\u002Fblog\u002Funsupported-provider-provider-is-not-enabled","Errore Supabase: \"Unsupported provider: provider is not enabled\"","\"Unsupported provider: provider is not enabled\": Google è disattivato nel tuo progetto Supabase. Come attivarlo e risolvere redirect_uri_mismatch.","2026-11-08","\u002Fblog\u002Funsupported-provider-provider-is-not-enabled\u002Fcard-800x500.png",{"path":754,"title":755,"description":756,"published":757,"category":699,"image":758,"draft":703},"\u002Fblog\u002Fviolates-foreign-key-constraint","Errore Supabase \"violates foreign key constraint\" all'inserimento","Supabase \"insert or update on table violates foreign key constraint\": la tua riga punta a una riga che non c'è. Quale, perché, e la soluzione.","2026-11-07","\u002Fblog\u002Fviolates-foreign-key-constraint\u002Fcard-800x500.png",{"path":760,"title":761,"description":762,"published":763,"category":699,"image":764,"draft":703},"\u002Fblog\u002Fnull-value-violates-not-null-constraint","Errore Supabase \"null value in column violates not-null constraint\"","Supabase \"null value in column violates not-null constraint\": una colonna obbligatoria è arrivata vuota. Da dove viene il null, e la soluzione.","2026-11-06","\u002Fblog\u002Fnull-value-violates-not-null-constraint\u002Fcard-800x500.png",{"path":766,"title":767,"description":768,"published":769,"category":699,"image":770,"draft":703},"\u002Fblog\u002Fauth-session-missing","Supabase \"Auth session missing!\": dove è finita la sessione","\"Auth session missing!\" è supabase-js che non trova nessuna sessione e non arriva nemmeno a chiedere a Supabase. Dove è finita la sessione, e la correzione.","2026-11-05","\u002Fblog\u002Fauth-session-missing\u002Fcard-800x500.png",{"path":772,"title":773,"description":774,"published":775,"category":699,"image":776,"draft":703},"\u002Fblog\u002Finvalid-claim-missing-sub-claim","Supabase \"invalid claim: missing sub claim\": nessun utente connesso","\"invalid claim: missing sub claim\": Supabase Auth ha ricevuto un token autentico senza alcun utente, la chiave del progetto al posto di una sessione.","2026-11-04","\u002Fblog\u002Finvalid-claim-missing-sub-claim\u002Fcard-800x500.png",{"path":778,"title":779,"description":780,"published":781,"category":699,"image":782,"draft":703},"\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function","\"Failed to send a request to the Edge Function\": la causa vera","\"Failed to send a request to the Edge Function\": il browser non ha ricevuto una risposta leggibile. La sua console dice perché e se la tua funzione è partita.","2026-11-03","\u002Fblog\u002Ffailed-to-send-a-request-to-the-edge-function\u002Fcard-800x500.png",{"path":784,"title":785,"description":786,"published":787,"category":699,"image":788,"draft":703},"\u002Fblog\u002Fsupabase-auth-redirects-to-localhost","Perché i link email di Supabase reindirizzano a localhost:3000","Se Supabase reindirizza a localhost:3000, la Site URL non è mai stata cambiata o il tuo indirizzo manca in Redirect URLs. La soluzione, e il jolly da evitare.","2026-11-02","\u002Fblog\u002Fsupabase-auth-redirects-to-localhost\u002Fcard-800x500.png",{"path":790,"title":791,"description":792,"published":793,"category":699,"image":794,"draft":703},"\u002Fblog\u002Femail-link-is-invalid-or-has-expired","Supabase \"Email link is invalid or has expired\" su un link nuovo","Su un link inviato un minuto fa, \"Email link is invalid or has expired\" di Supabase di solito vuol dire che un filtro della posta l'ha usato prima.","2026-11-01","\u002Fblog\u002Femail-link-is-invalid-or-has-expired\u002Fcard-800x500.png",{"path":796,"title":797,"description":798,"published":799,"category":699,"image":800,"draft":703},"\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout","Supabase \"canceling statement due to statement timeout\", spiegato","Supabase \"canceling statement due to statement timeout\": una query ha superato il limite del suo ruolo, 3 secondi per un visitatore. Guarda la policy RLS.","2026-10-31","\u002Fblog\u002Fcanceling-statement-due-to-statement-timeout\u002Fcard-800x500.png",{"path":802,"title":803,"description":804,"published":805,"category":806,"image":807,"draft":703},"\u002Fblog\u002Fdatabase-error-deleting-user","\"Database error deleting user\" su Supabase, e cosa porta con sé","\"Database error deleting user\" su Supabase: il tuo database ha rifiutato la cancellazione. La causa è nei log, e la soluzione decide cos'altro sparisce.","2026-10-30","Backups","\u002Fblog\u002Fdatabase-error-deleting-user\u002Fcard-800x500.png",{"path":809,"title":810,"description":811,"published":812,"category":699,"image":813,"draft":703},"\u002Fblog\u002Fstripe-webhook-no-signatures-found","\"No signatures found matching the expected signature\" su Supabase","Un webhook Stripe in una Edge Function di Supabase dice \"No signatures found matching the expected signature\"? Due cause. Non smettere di verificare.","2026-10-29","\u002Fblog\u002Fstripe-webhook-no-signatures-found\u002Fcard-800x500.png",{"path":107,"title":815,"description":816,"published":817,"category":699,"image":818,"draft":703},"\"Invalid login credentials\" in Supabase: le tre cause","Supabase dice \"Invalid login credentials\" per una password sbagliata, un'email sconosciuta e un account Google. Come capire quale.","2026-10-28","\u002Fblog\u002Fsupabase-invalid-login\u002Fcard-800x500.png",{"path":820,"title":821,"description":822,"published":823,"category":699,"image":824,"draft":703},"\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code","\"Edge Function returned a non-2xx status code\": l'errore vero","\"Edge Function returned a non-2xx status code\" vuol dire che la tua funzione Supabase ha risposto con un errore. Ecco dove leggere quello vero.","2026-10-27","\u002Fblog\u002Fedge-function-returned-a-non-2xx-status-code\u002Fcard-800x500.png",{"path":826,"title":827,"description":828,"published":829,"category":699,"image":830,"draft":703},"\u002Fblog\u002Fcertificate-not-trusted","Certificato non attendibile: tre cause oltre alla scadenza","Certificato non attendibile anche se la data è giusta? Nomina un altro indirizzo, si è firmato da solo o alla sua catena manca un anello. Come capirlo.","2026-10-26","\u002Fblog\u002Fcertificate-not-trusted\u002Fcard-800x500.png",{"path":832,"title":833,"description":834,"published":835,"category":699,"image":836,"draft":703},"\u002Fblog\u002Finvalid-input-syntax-for-type-uuid","Supabase \"invalid input syntax for type uuid\": leggi le virgolette","Supabase \"invalid input syntax for type uuid\": la tua app ha inviato qualcosa che non è un id. Leggi le virgolette, ferma la query, tieni la colonna.","2026-10-25","\u002Fblog\u002Finvalid-input-syntax-for-type-uuid\u002Fcard-800x500.png",{"path":838,"title":839,"description":840,"published":841,"category":699,"image":842,"draft":703},"\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint","Supabase \"duplicate key value violates unique constraint\", spiegato","Supabase \"duplicate key value violates unique constraint\": il valore è già preso. Trova la colonna, scegli una correzione, tieni il valore fuori schermo.","2026-10-24","\u002Fblog\u002Fduplicate-key-value-violates-unique-constraint\u002Fcard-800x500.png",{"path":844,"title":845,"description":846,"published":847,"category":699,"image":848,"draft":703},"\u002Fblog\u002Fsupabase-relation-does-not-exist","Supabase \"relation does not exist\" quando la tabella c'è","Supabase \"relation does not exist\" o PGRST205: nessuna tabella ha quel nome in quello schema. Quattro controlli, e che cosa apre esporre uno schema.","2026-10-23","\u002Fblog\u002Fsupabase-relation-does-not-exist\u002Fcard-800x500.png",{"path":850,"title":851,"description":852,"published":853,"category":699,"image":854,"draft":703},"\u002Fblog\u002Fsupabase-function-not-found","Supabase PGRST202: \"Could not find the function in the schema cache\"","Supabase \"Could not find the function in the schema cache\" riporta i nomi degli argomenti inviati dalla tua app. Confrontali con la funzione.","2026-10-22","\u002Fblog\u002Fsupabase-function-not-found\u002Fcard-800x500.png",{"path":856,"title":857,"description":858,"published":859,"category":699,"image":860,"draft":703},"\u002Fblog\u002Fsupabase-schema-cache-column-error","Supabase PGRST204: \"Could not find the column in the schema cache\"","Supabase \"Could not find the column in the schema cache\" di solito è un nome che non torna. Quattro controlli in ordine e la riga che ricarica.","2026-10-21","\u002Fblog\u002Fsupabase-schema-cache-column-error\u002Fcard-800x500.png",{"path":862,"title":863,"description":864,"published":865,"category":699,"image":866,"draft":703},"\u002Fblog\u002Fsupabase-email-rate-limit-exceeded","Supabase \"Email Rate Limit Exceeded\": due limiti, un solo codice","Supabase \"Email Rate Limit Exceeded\" limita ogni email del tuo progetto: 2 all'ora con il mittente integrato. Cosa conta e come alzarlo.","2026-10-20","\u002Fblog\u002Fsupabase-email-rate-limit-exceeded\u002Fcard-800x500.png",{"path":731,"title":5,"description":702,"published":732,"category":699,"image":721,"draft":703},{"path":869,"title":870,"description":871,"published":872,"category":699,"image":873,"draft":703},"\u002Fblog\u002Fpermission-denied-for-schema-public","Supabase \"permission denied for schema public\": tre cause","Supabase \"permission denied for schema public\" indica un grant mancante sullo schema. Cosa lo ha tolto, e la riga che lo rimette.","2026-10-18","\u002Fblog\u002Fpermission-denied-for-schema-public\u002Fcard-800x500.png",{"path":875,"title":876,"description":877,"published":878,"category":699,"image":879,"draft":703},"\u002Fblog\u002Fsupabase-bucket-not-found","Supabase \"Bucket not found\": le tre cose che può voler dire","Supabase \"Bucket not found\" è una di tre cose: un link pubblico a un bucket privato, un nome non esattamente uguale o il progetto sbagliato.","2026-10-17","\u002Fblog\u002Fsupabase-bucket-not-found\u002Fcard-800x500.png",{"path":98,"title":881,"description":882,"published":883,"category":699,"image":884,"draft":703},"Supabase invalid JWT: quale chiave ha smesso di funzionare?","Un errore Supabase invalid JWT è PGRST301: un token firmato non ha superato la verifica. Su un progetto recente riguarda la sessione, non la chiave API.","2026-10-16","\u002Fblog\u002Fsupabase-invalid-jwt\u002Fcard-800x500.png",{"path":886,"title":887,"description":888,"published":889,"category":699,"image":890,"draft":703},"\u002Fblog\u002Fsupabase-single-row-error","Supabase \"multiple (or no) rows returned\" quasi sempre è nessuna","Supabase restituisce PGRST116, \"JSON object requested, multiple (or no) rows returned\", quando la query non ha trovato nulla. Una riga nascosta sembra assente.","2026-10-15","\u002Fblog\u002Fsupabase-single-row-error\u002Fcard-800x500.png",{"path":892,"title":893,"description":894,"published":895,"category":699,"image":896,"draft":703},"\u002Fblog\u002Fdatabase-error-saving-new-user","\"Database error saving new user\" su Supabase: dove guardare","\"Database error saving new user\" vuol dire che qualcosa attaccato alla registrazione Supabase è fallito. L'errore vero sta nei tuoi log.","2026-10-14","\u002Fblog\u002Fdatabase-error-saving-new-user\u002Fcard-800x500.png",{"path":898,"title":899,"description":900,"published":901,"category":699,"image":902,"draft":703},"\u002Fblog\u002Fwhat-is-supabase","Cos'è Supabase? Il database che ha scelto il tuo builder","Cos'è Supabase: il database, il login e l'archivio file dietro la tua app. Supabase manda avanti i server; le regole su chi legge le tue righe sono tue.","2026-10-13","\u002Fblog\u002Fwhat-is-supabase\u002Fcard-800x500.png",{"path":904,"title":905,"description":906,"published":907,"category":699,"image":908,"draft":703},"\u002Fblog\u002Faws-access-key-exposed-in-frontend","Una chiave AWS esposta nel frontend non è come una chiave OpenAI","Una chiave di accesso AWS esposta nel tuo frontend legge e scrive il tuo storage. La soluzione di solito è una presigned URL, non una chiave nuova.","2026-10-12","\u002Fblog\u002Faws-access-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":910,"title":911,"description":912,"published":913,"category":699,"image":914,"draft":703},"\u002Fblog\u002Fstorage-upload-violates-row-level-security","\"Row-level security policy for table objects\" in upload","\"New row violates row-level security policy for table objects\" vuol dire che al tuo upload manca una regola insert. Rendere pubblico il bucket non ne aggiunge.","2026-10-11","\u002Fblog\u002Fstorage-upload-violates-row-level-security\u002Fcard-800x500.png",{"path":916,"title":917,"description":918,"published":919,"category":699,"image":920,"draft":703},"\u002Fblog\u002Fbase44-security-scan","Scansione di sicurezza Base44: ciò che vede solo lei","La scansione di sicurezza Base44 controlla sette tipi di problema dall’interno. Ecco la metà che legge e che nessun altro legge, e quella che non guarda mai.","2026-10-10","\u002Fblog\u002Fbase44-security-scan\u002Fcard-800x500.png",{"path":922,"title":923,"description":924,"published":925,"category":699,"image":926,"draft":703},"\u002Fblog\u002Fapi-key-leaked-what-to-do","La tua chiave API è trapelata. L'ordine in cui muoverti","Una chiave API è trapelata e non sai da cosa cominciare. Non tutte le chiavi nel frontend lo sono, e l'ordine conta più della velocità.","2026-10-09","\u002Fblog\u002Fapi-key-leaked-what-to-do\u002Fcard-800x500.png",{"path":928,"title":929,"description":930,"published":931,"category":699,"image":932,"draft":703},"\u002Fblog\u002Finfinite-recursion-in-policy-for-relation","\"Infinite recursion detected in policy\" senza disattivare RLS","\"Infinite recursion detected in policy for relation\" significa che la tua policy ha interrogato la tabella che protegge. Ecco come rompere il cerchio.","2026-10-08","\u002Fblog\u002Finfinite-recursion-in-policy-for-relation\u002Fcard-800x500.png",{"path":934,"title":935,"description":936,"published":937,"category":699,"image":938,"draft":703},"\u002Fblog\u002Fno-api-key-found-in-request","\"No API key found in request\" su Supabase, e la correzione sbagliata","\"No API key found in request\" significa che la tua richiesta è arrivata a Supabase senza chiave. Quasi tutte le risposte indicano le regole del database.","2026-10-07","\u002Fblog\u002Fno-api-key-found-in-request\u002Fcard-800x500.png",{"path":940,"title":941,"description":942,"published":943,"category":699,"image":944,"draft":703},"\u002Fblog\u002Fis-base44-safe","Base44 è sicuro? Cosa abbiamo trovato in 5.442 app","Base44 è sicuro? Abbiamo passato nove controlli su 5.442 app Base44 online. Quasi tutte hanno preso B, per motivi che il proprietario non ha mai scelto.","2026-10-06","\u002Fblog\u002Fis-base44-safe\u002Fcard-800x500.png",{"path":946,"title":947,"description":948,"published":949,"category":699,"image":950,"draft":703},"\u002Fblog\u002Fmove-a-secret-to-an-edge-function","Nascondere una chiave API: spostala in una Edge Function Supabase","Nascondere una chiave API vuol dire toglierla dal browser, e una Edge Function Supabase è il posto più piccolo dove metterla. Due passaggi contano di più.","2026-10-05","\u002Fblog\u002Fmove-a-secret-to-an-edge-function\u002Fcard-800x500.png",{"path":952,"title":953,"description":954,"published":955,"category":699,"image":956,"draft":703},"\u002Fblog\u002Fenv-file-exposed-on-your-server","Il tuo file .env è esposto? I dodici percorsi da provare","Il tuo file .env è esposto sul tuo server web? Dodici indirizzi te lo dicono, e una risposta significa che tutto quello che contiene è già pubblico.","2026-10-04","\u002Fblog\u002Fenv-file-exposed-on-your-server\u002Fcard-800x500.png",{"path":958,"title":959,"description":960,"published":961,"category":699,"image":962,"draft":703},"\u002Fblog\u002Fis-v0-safe","Sicurezza di v0: tutte le 1.790 app v0 analizzate hanno preso A","La sicurezza di v0 misurata su 1.790 app v0 online: tutte hanno preso A. Solo 17 nominavano un database, ed è soprattutto questo che misura quella A.","2026-10-03","\u002Fblog\u002Fis-v0-safe\u002Fcard-800x500.png",{"path":964,"title":965,"description":966,"published":967,"category":699,"image":968,"draft":703},"\u002Fblog\u002Fis-bolt-safe","Bolt è sicuro? Cosa abbiamo trovato in 1.123 app Bolt","Bolt è sicuro? Abbiamo passato 1.123 app Bolt online per nove controlli. L’hosting era pulito. I rilievi erano chiavi e tabelle aperte dentro le app.","2026-10-02","\u002Fblog\u002Fis-bolt-safe\u002Fcard-800x500.png",{"path":222,"title":970,"description":971,"published":972,"category":699,"image":973,"draft":703},"Supabase è down o è la tua app? Come capirlo","Supabase è down o è la tua app? Un progetto in pausa, un database pieno e un tuo errore sembrano la stessa cosa. Quattro controlli li separano.","2026-10-01","\u002Fblog\u002Fis-supabase-down-or-your-app\u002Fcard-800x500.png",{"path":975,"title":976,"description":977,"published":978,"category":699,"image":979,"draft":703},"\u002Fblog\u002Fdoes-supabase-encrypt-my-data","Supabase crittografa i miei dati? Sì. Ecco da cosa protegge","Supabase crittografa i dati? Sì: AES-256 a riposo, TLS in transito, SOC 2 e ISO 27001. Cosa copre ciascuno, e la fuga di dati che nessuno di questi ferma.","2026-09-30","\u002Fblog\u002Fdoes-supabase-encrypt-my-data\u002Fcard-800x500.png",{"path":981,"title":982,"description":983,"published":984,"category":699,"image":985,"draft":703},"\u002Fblog\u002Fsupabase-free-plan-limits","Supabase: prezzi e limiti del piano gratuito, uno per uno","Prezzi e limiti del piano gratuito di Supabase: 500 MB di database, 5 GB di egress e nessun backup. Cosa succede a ogni soglia e cosa cambia Pro a $25.","2026-09-29","\u002Fblog\u002Fsupabase-free-plan-limits\u002Fcard-800x500.png",{"path":987,"title":988,"description":989,"published":990,"category":806,"image":991,"draft":703},"\u002Fblog\u002Ftest-your-supabase-backup","Testa il tuo backup di Supabase prima del giorno in cui serve","Come testare il tuo backup di Supabase: ripristinarlo in un progetto di prova, contare le righe, accedere e cercare la riga che manca a un file troncato.","2026-09-28","\u002Fblog\u002Ftest-your-supabase-backup\u002Fcard-800x500.png",{"path":993,"title":994,"description":995,"published":996,"category":806,"image":997,"draft":703},"\u002Fblog\u002Fsupabase-backup-github-action","Backup gratis di Supabase con una GitHub Action, e il tranello","Un backup di Supabase con una GitHub Action è gratis e va bene per molte app. Il workflow, la connection string giusta e l'egress di ogni esecuzione.","2026-09-27","\u002Fblog\u002Fsupabase-backup-github-action\u002Fcard-800x500.png",{"path":999,"title":1000,"description":1001,"published":1002,"category":806,"image":1003,"draft":703},"\u002Fblog\u002Fdownload-your-supabase-backup","Perché non puoi scaricare il tuo backup di Supabase","Non puoi scaricare il tuo backup di Supabase su un progetto recente, perché la copia giornaliera è uno snapshot fisico. Come verificarlo e tenere una copia tua.","2026-09-26","\u002Fblog\u002Fdownload-your-supabase-backup\u002Fcard-800x500.png",{"path":1005,"title":1006,"description":1007,"published":1002,"category":699,"image":1008,"draft":703},"\u002Fblog\u002Fsupabase-permission-denied-for-table","Supabase \"permission denied for table\": il grant mancante","Dal 30 ottobre una nuova tabella di Supabase risponde \"permission denied for table\" finché non concedi l'accesso. Il grant della mail è metà della soluzione.","\u002Fblog\u002Fsupabase-permission-denied-for-table\u002Fcard-800x500.png",{"path":1010,"title":1011,"description":1012,"published":1013,"category":699,"image":1014,"draft":703},"\u002Fblog\u002Fopen-api-endpoint-exposed","Un endpoint API aperto è un problema di sicurezza? Leggi il JSON","La tua scansione ha segnalato un endpoint API aperto. Quanto conti dipende da che cosa è tornato, e la maggior parte di quelli trovati era della piattaforma.","2026-09-25","\u002Fblog\u002Fopen-api-endpoint-exposed\u002Fcard-800x500.png",{"path":1016,"title":1017,"description":1018,"published":1019,"category":699,"image":1020,"draft":703},"\u002Fblog\u002Flovable-security-scan","Scansione di sicurezza Lovable: cosa non può dimostrare","Scansione di sicurezza Lovable: cosa controllano Quick scan e Deep scan, quando parte ciascuno, e l’unica cosa che nessuna scansione dall’interno dimostra.","2026-09-24","\u002Fblog\u002Flovable-security-scan\u002Fcard-800x500.png",{"path":1022,"title":1023,"description":1024,"published":1025,"category":806,"image":1026,"draft":703},"\u002Fblog\u002Fsupabase-backup-auth-users","Perché nel tuo dump Supabase non ci sono utenti","Lancia supabase db dump da solo e ottieni la forma del tuo database e nessuna delle sue righe, senza lo schema auth in cui vivono i tuoi utenti.","2026-09-23","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":1028,"title":1029,"description":1030,"published":1031,"category":699,"image":1032,"draft":703},"\u002Fblog\u002Fdomain-and-certificate-expiry","Dominio scaduto, sito offline: cosa succede adesso","Il tuo dominio è scaduto e il sito è offline. Il conto alla rovescia che parte, perché il certificato è il problema minore, e come controllarli entrambi.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":1034,"title":1035,"description":1036,"published":1037,"category":699,"image":1038,"draft":703},"\u002Fblog\u002Fis-lovable-safe","Lovable è sicuro? Cosa abbiamo trovato in 18.554 app Lovable","Lovable è sicuro? Abbiamo passato 18.554 app Lovable online per nove controlli. La piattaforma è risultata la più pulita di cinque. I rilievi stavano nelle app.","2026-09-21","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":1040,"title":1041,"description":1042,"published":1043,"category":699,"image":1044,"draft":703},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist di sicurezza del vibe coding, in nove controlli","Una checklist di sicurezza del vibe coding in nove voci, ognuna verificabile dall’esterno sulla tua app dal vivo, e ognuna con un test di una riga.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":1046,"title":1047,"description":1048,"published":1049,"category":699,"image":1050,"draft":703},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Una chiave segreta Stripe nel frontend può muovere denaro","Una chiave segreta Stripe esposta nel tuo frontend può rimborsare, addebitare e leggere ogni scheda cliente che hai. La tua chiave pk_live_ ci sta bene.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":1052,"title":1053,"description":1054,"published":1055,"category":699,"image":1056,"draft":703},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica","Variabili d’ambiente Vite esposte: la tua app ha fatto ciò che il prefisso chiedeva. VITE_ e NEXT_PUBLIC_ vogliono dire pubblica, e l’IA non sapeva il costo.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":1058,"title":1059,"description":1060,"published":1061,"category":699,"image":1062,"draft":703},"\u002Fblog\u002Fbase44-source-maps","Sicurezza Base44: cosa segnala uno scan e cosa tocca a te sistemare","Sicurezza Base44 su 5.438 app scansionate: tre segnalazioni su quasi tutte sono della piattaforma, la source map è il badge di Base44, la tua parte è corta.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":1064,"title":1065,"description":1066,"published":1067,"category":699,"image":1068,"draft":703},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI è sicuro? L’editor, il codice e l’app che hai pubblicato","Cursor AI è sicuro? Tre domande in una ricerca: cosa tiene Cursor, cosa sbaglia il codice che scrive, e se l’app che hai pubblicato è aperta.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":1070,"title":1071,"description":1072,"published":1073,"category":699,"image":1074,"draft":703},"\u002Fblog\u002Fis-replit-safe","Replit è sicuro? Cosa abbiamo trovato in 3.042 app Replit online","Replit è sicuro? Abbiamo passato 3.042 app Replit online per nove controlli esterni. I rilievi stavano nell’app pubblicata, non nell’host.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":1076,"title":1077,"description":1078,"published":1079,"category":806,"image":1080,"draft":703},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup: la copia del database non ha nessun file","Un Supabase storage backup è un lavoro a parte. I backup del database tengono la lista dei tuoi file e nessuno dei file, quindi ogni upload resta rotto.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":1082,"title":1083,"description":1084,"published":1085,"category":806,"image":1086,"draft":703},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery di Supabase: prezzo e limiti","Il point-in-time recovery di Supabase riavvolge il database a qualsiasi secondo della settimana scorsa. $100 al mese oltre a Pro, e copre solo il database.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":1088,"title":1089,"description":1090,"published":1091,"category":806,"image":1092,"draft":703},"\u002Fblog\u002Fsupabase-project-paused-recover","Progetto Supabase in pausa? I tuoi dati sono ancora lì","Supabase ha messo in pausa il tuo progetto dopo una settimana senza attività. Non è cancellato niente, Ripristina è accanto al nome e hai un anno di tempo.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":1094,"title":1095,"description":1096,"published":1097,"category":699,"image":1098,"draft":703},"\u002Fblog\u002Fsafest-ai-app-builder","Qual è il builder di app con IA più sicuro? 30.998 app testate","Qual è il builder di app con IA più sicuro? Abbiamo scansionato 30.998 app online di Lovable, Base44, Replit, v0 e Bolt. Non è il builder a decidere il voto.","2026-09-11","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",{"path":1100,"title":1101,"description":1102,"published":1103,"category":699,"image":1104,"draft":703},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Attiva Row Level Security su ogni tabella Supabase, poi verificalo","Attivare Row Level Security su Supabase senza una policy chiude del tutto la tabella. Una policy senza il flag non fa nulla. Ecco lo SQL, e la verifica.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":1106,"title":1107,"description":1108,"published":1109,"category":699,"image":1110,"draft":703},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\": cosa non vede l'avviso","Supabase segnala \"RLS disabled in public\" come errore. Non dice nulla della policy di lettura che lascia la tua tabella altrettanto aperta.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":1112,"title":1113,"description":1114,"published":1115,"category":699,"image":1116,"draft":703},"\u002Fblog\u002Frotate-supabase-service-role-key","Come ruotare una chiave service_role Supabase trapelata","Supabase dice di chiudere prima la falla. Altre guide dicono di ruotare subito. Quale sia giusto dipende da dove è finita la tua chiave service_role.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":1118,"title":1119,"description":1120,"published":1121,"category":699,"image":1122,"draft":703},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanner di sicurezza per vibe coding a confronto, il nostro incluso","Il miglior scanner di sicurezza per vibe coding dipende da tre domande che nessun elenco di funzioni affronta. Otto strumenti a confronto, con i prezzi.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":1124,"title":1125,"description":1126,"published":1127,"category":699,"image":1128,"draft":703},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker: i cinque controlli da fare da soli","Un Supabase security checker legge la tua app pubblicata invece delle impostazioni del progetto. Ecco i cinque controlli che esegue e come farli da solo.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":1130,"title":1131,"description":1132,"published":1133,"category":699,"image":1134,"draft":703},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner di sicurezza per vibe coding: cosa si perde","Uno scanner di sicurezza per vibe coding legge la tua app dal vivo, da fuori. Cosa copre, le quattro cose che non può vedere e come leggere il risultato.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":1136,"title":1137,"description":1138,"published":1139,"category":699,"image":1140,"draft":703},"\u002Fblog\u002Fmissing-security-headers","Intestazioni di sicurezza mancanti: quando contano","Le intestazioni di sicurezza mancanti sono il rilievo che il nostro scanner stampa più spesso. Da cosa proteggono e quando sono la riga meno urgente.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":1142,"title":1143,"description":1144,"published":1145,"category":699,"image":1146,"draft":703},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","La tua chiave API OpenAI è esposta nel frontend. Ruotala.","Una chiave API OpenAI esposta nel frontend non si può legare a nessun dominio. Ruotala oggi, sposta la chiamata sul tuo server e metti un tetto di spesa.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1148,"title":1149,"description":1150,"published":1151,"category":699,"image":1152,"draft":703},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Chiave API esposta nel frontend: cosa spediscono 30.998 app","Una chiave API esposta nel tuo frontend è quasi sempre una chiave di Google Maps. Abbiamo scansionato 30.998 app vibe-coded e contato cosa esce davvero.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":1154,"title":1155,"description":1156,"published":1157,"category":806,"image":1158,"draft":703},"\u002Fblog\u002Fsupabase-backup-tools-compared","Strumenti di backup Supabase a confronto, il nostro incluso","Quattro tipi di strumento di backup Supabase, cosa copia davvero ognuno, e il caso in cui una GitHub Action gratuita batte il pagare chiunque, noi inclusi.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":1160,"title":1161,"description":1162,"published":1163,"category":699,"image":1164,"draft":703},"\u002Fblog\u002Freplit-secrets-explained","Come usare i secret su Replit, e cosa viene comunque pubblicato","Come usare i secret su Replit: aggiungerne uno, rileggerlo e risolvere le due cause dell'undefined. E le chiavi che lo strumento non riesce a proteggere.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":1166,"title":1167,"description":1168,"published":1169,"category":806,"image":1170,"draft":703},"\u002Fblog\u002Fback-up-supabase-free-tier","Backup del piano gratuito Supabase: farne uno senza terminale","Sul piano gratuito Supabase non esistono backup: la copia la fai tu. Come farne uno dalla dashboard e che cosa si lascia dietro la via del CSV.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":1172,"title":1173,"description":1174,"published":1175,"category":699,"image":1176,"draft":703},"\u002Fblog\u002Fis-supabase-secure","Supabase è sicuro? Sì. Il tuo progetto è un'altra questione","Supabase è sicuro? La piattaforma è certificata, cifrata e sottoposta a pentest. La loro documentazione dice dove finisce quello e iniziano le tue impostazioni.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":1178,"title":1179,"description":1180,"published":1181,"category":699,"image":1182,"draft":703},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Dove trovare le chiavi API di Supabase: anon, service_role e URL","L'URL del progetto, la chiave anon e la chiave service_role stanno su una pagina della dashboard. Ecco dove si trova e quale dei quattro va nella tua app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":1184,"title":1185,"description":1186,"published":1187,"category":699,"image":1188,"draft":703},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy su Supabase. E adesso?","\"New row violates row-level security policy\" significa che Supabase ha rifiutato una scrittura. La soluzione veloce riapre la tabella a chiunque.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":1190,"title":1191,"description":1192,"published":1193,"category":699,"image":1194,"draft":703},"\u002Fblog\u002Fcors-wildcard-security-risk","Un wildcard CORS è un rischio di sicurezza? Quasi mai.","Un wildcard CORS è un rischio di sicurezza? Di solito è il valore predefinito del tuo builder e non consegna nulla che il tuo server non desse già a chiunque.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":1196,"title":1197,"description":1198,"published":1199,"category":806,"image":1200,"draft":703},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Il branching di Supabase non è un backup. Va solo in avanti.","Perché il branching di Supabase non è un backup: un branch parte senza i tuoi dati e un merge sposta solo lo schema. A cosa serve davvero e cosa usare invece.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":1202,"title":1203,"description":1204,"published":1205,"category":806,"image":1206,"draft":703},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Come ripristinare un backup Supabase, e cosa si rompe dopo","Come ripristinare un backup Supabase dalla dashboard o da un file di dump, che cosa sostituisce il ripristino e perché la tua app può restare rotta lo stesso.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":1208,"title":1209,"description":1210,"published":1211,"category":699,"image":1212,"draft":703},"\u002Fblog\u002Fsupabase-storage-bucket-public","Il tuo bucket Supabase Storage è pubblico. È un problema?","Un bucket Supabase Storage pubblico significa che chi ha l'URL di un file può aprirlo. Non significa che qualcuno possa elencare quello che c'è dentro.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":1214,"title":1215,"description":1216,"published":1217,"category":699,"image":1218,"draft":703},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Una chiave API Google nel frontend è un problema?","Una chiave API Google esposta nel frontend è la chiave che il nostro scanner trova più spesso, e di solito va bene così. Lo decide una impostazione gratuita.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":1220,"title":1221,"description":1222,"published":1223,"category":806,"image":1224,"draft":703},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agente IA ha cancellato i miei dati Supabase. Cosa recupero?","Un agente IA ha cancellato dati dal tuo database. Quello che puoi recuperare era già deciso prima che partisse, e i prossimi minuti decidono il resto.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":1226,"title":1227,"description":1228,"published":1229,"category":699,"image":1230,"draft":703},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","Chiunque può leggere il tuo database Supabase? 3.680 app testate","Chiunque può leggere il tuo database Supabase senza fare login? Abbiamo scansionato 30.998 app online create con i builder IA e misurato quante rispondono sì.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":1232,"title":1233,"description":1234,"published":1229,"category":699,"image":1235,"draft":703},"\u002Fblog\u002Fsource-maps-exposed-in-production","Source map esposte: la tua app sta pubblicando il codice originale","Una source map esposta permette a chiunque di leggere il codice originale della tua app, commenti inclusi. Il controllo da 30 secondi e cosa conta davvero.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":1237,"title":1238,"description":1239,"published":1240,"category":699,"image":1241,"draft":703},"\u002Fblog\u002Fsupabase-new-api-keys","Supabase publishable key: è la stessa della anon key?","Supabase ha sostituito anon e service_role con chiavi pubblicabili e segrete. Quale sta bene nella tua app, e quale non deve starci mai?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":1243,"title":1244,"description":1245,"published":1246,"category":806,"image":1247,"draft":703},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase fa il backup del mio database? Dipende dal tuo piano.","Supabase fa il backup del tuo database? Ogni giorno sui piani a pagamento, mai su quello gratuito. Come capire cosa hai e cosa quella copia non copre.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":1249,"title":1250,"description":1251,"published":1252,"category":699,"image":1253,"draft":703},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security è attivo. La tabella resta pubblica.","Attivare Supabase Row Level Security non protegge una tabella. Lo fanno le policy, e quella che ha rimesso in piedi la tua app può far entrare chiunque.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":1255,"title":1256,"description":1257,"published":1252,"category":806,"image":1258,"draft":703},"\u002Fblog\u002Fversion-history-is-not-a-backup","La cronologia delle versioni non è un backup dei tuoi dati.","Lovable e Bolt tengono una cronologia delle versioni del codice. Il tuo database è un servizio a parte, e tornare indietro non ti restituisce i dati.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":1260,"title":1261,"description":1262,"published":1263,"category":806,"image":1264,"draft":703},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Tre modi per fare il backup di un database Supabase, e cosa manca","Il pannello, pg_dump e un servizio gestito. Che cosa salva davvero ciascuno, cosa lascia fuori senza dirlo e quale sopravvive alla perdita dell'account.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":89,"title":1266,"description":1267,"published":1263,"category":699,"image":1268,"draft":703},"Quali chiavi API sono sicure nel browser e quali no","La tua chiave anon di Supabase è fatta per essere pubblica. La chiave service_role no, e ignora ogni regola che imposti. Come distinguerle.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1794213651832]