Reeve La tua app Bolt è sicura?
Bolt ti permette di descrivere un'app e vederla costruire e pubblicare in pochi minuti. È davvero notevole — ma una costruzione rapida può spedire in silenzio un'impostazione o una chiave che non dovrebbe, e dall'editor non la vedresti mai.
Reeve controlla i problemi più comuni dall'esterno, gratis, e spiega ciò che trova in linguaggio semplice. Nessuna installazione, nessun accesso ai tuoi account — guardiamo solo ciò che è già pubblico.
Incolla il link della tua app. Circa 20 secondi. Guarda il tuo voto senza registrarti.
Cosa può davvero andare storto con un'app Bolt
Niente di tutto questo significa che hai fatto qualcosa di sbagliato — sono i soliti effetti collaterali del costruire in fretta. Ecco cosa vale la pena controllare:
Una chiave segreta che finisce nel browser (la trappola VITE_)
Le app Bolt sono di solito costruite con Vite, che ha una regola che frega le persone: qualsiasi impostazione il cui nome inizia con VITE_ viene incorporata nel codice che gira nel browser del tuo visitatore — dove chiunque può leggerla. Chiama un vero segreto VITE_QUALCOSA e finisce in pubblico. Alcune chiavi devono essere pubbliche (come una chiave «anon» di Supabase), il che va bene — Reeve distingue quelle sicure da quelle pericolose, così niente falsi allarmi.
Il tuo database lasciato aperto (RLS di Supabase disattivato)
Bolt spesso collega la tua app a Supabase per i dati. Supabase ha un interruttore chiamato Row Level Security (RLS) che decide chi può leggere o modificare ogni riga. Se è disattivato, le tue tabelle possono essere leggibili — o modificabili — da chiunque trovi l'indirizzo. È il problema serio più comune nelle app create dall'IA, ed è invisibile a meno che tu non controlli.
Un file .env o di configurazione esposto
Il file .env contiene le chiavi e le password di un progetto. A volte viene pubblicato per sbaglio insieme all'app pubblicata. Se è raggiungibile dall'esterno, è una scorciatoia a tutto ciò che è sensibile. Reeve controlla se il tuo è accessibile senza che tu lo sappia.
Archiviazione di file pubblica
Se le persone caricano file nella tua app, questi vivono in «bucket» di archiviazione. Un bucket lasciato pubblico significa che chiunque può elencare o scaricare ciò che c'è dentro — così un caricamento privato può finire visibile a tutti. Reeve controlla se i tuoi bucket sono elencabili; non scarica mai i file di nessuno.
Source map lasciate attive
Una «source map» è un file di aiuto che rivela il codice originale della tua app. Comoda mentre costruisci, ma se finisce in produzione consegna agli estranei una mappa leggibile di come funziona la tua app — rendendo ogni altra porta più facile da trovare. Bassa urgenza, ma vale la pena sistemarla.
Header di sicurezza mancanti ed endpoint aperti
Piccole impostazioni che dicono ai browser come proteggere i tuoi visitatori, più il fatto che i tuoi endpoint di dati rispondano a chiunque o a qualsiasi sito. Minori da soli; insieme allargano la falla. Reeve segnala quelli che mancano.
Cos'è Reeve — e cosa non è
Reeve è un controllo gratuito, in sola lettura, dall'esterno — come un ispettore che gira attorno all'edificio e prova le porte. È veloce e coglie gli errori comuni ad alto impatto. Non è un audit di sicurezza completo, e un voto pulito non è una garanzia — significa che le porte ovvie sono chiuse.
Bolt e StackBlitz continuano a migliorare ciò che viene generato, e se la tua app usa Supabase, il consulente di Supabase segnala i problemi del database nella sua dashboard. Entrambi aiutano. Cosa aggiunge Reeve: tu vivi in Bolt, non in una dashboard, e quegli strumenti parlano da sviluppatori. Reeve guarda tutta la tua app pubblicata dall'esterno — come farebbe un estraneo — e ti dice ciò che trova con parole su cui puoi agire. E se preferisci non pensarci, possiamo tenerla d'occhio noi per te.
Vuoi che sia gestito, non solo controllato?
Reeve Care continua a tenere d'occhio la tua app, fa il backup dei tuoi dati e ti aiuta a sistemare le cose quando si rompono — così puoi continuare a creare invece di preoccuparti.
Scopri Reeve CareDomande, con risposte oneste
La mia app Bolt è sicura per impostazione predefinita?
Bolt ti dà rapidamente un'app funzionante, ma «sicura per impostazione predefinita» dipende da come è collegata — soprattutto dalle tue variabili d'ambiente e, se usi Supabase, dalle regole del tuo database. L'unico modo di saperlo è controllare cosa è davvero esposto, ed è ciò che Reeve fa gratis in circa 20 secondi.
Perché la mia chiave di API è trapelata in un'app Bolt?
Di solito perché era conservata in un'impostazione che inizia con VITE_. Vite le incorpora di proposito nel bundle del browser, così qualsiasi segreto chiamato in quel modo diventa pubblico. Reeve legge il codice caricato della tua app, trova le chiavi e ti dice quali sono sicure da esporre e quali vanno spostate sul server.
Bolt usa Supabase, ed è sicuro?
Bolt collega spesso le app a Supabase. Supabase è sicuro quando la Row Level Security è attiva e solo la tua chiave pubblica «anon» è nel front-end. Se l'RLS è disattivato o una chiave «service_role» è trapelata, i tuoi dati possono essere esposti. Reeve controlla entrambi senza mai leggere i tuoi dati reali.
Scansionare la mia app Bolt cambierà qualcosa?
No. Reeve guarda solo ciò che è già pubblico dall'esterno. Non accede mai, non cambia mai nulla e non scarica mai i tuoi file — in sola lettura, come controllare se una porta è chiusa a chiave senza entrare.
Creata altrove? Abbiamo lo stesso resoconto onesto per:
Controllo esterno automatizzato, non un audit completo. L'assenza di risultati non è una garanzia di sicurezza.