La tua app Lovable è sicura?

Lovable ti porta da un'idea a un'app funzionante più in fretta di qualunque altra cosa, e la parte di cui si occupa al posto tuo è proprio quella che non vedi mai: il database, le tabelle, le regole su chi può leggerle. Quando qualcuno ti dice che la tua app Lovable «perde dati», la risposta di solito sta lì, e non è un posto che tu possa guardare da dentro l'editor.

Ecco il punto che guida dopo guida racconta male: il rischio non è quasi mai il codice che Lovable ha scritto per te. È una sola impostazione del database, decisa nel momento in cui una tabella è stata creata, che la maggior parte degli articoli salta o descrive al contrario.

Che cosa costruisce davvero Lovable, e quale metà è pubblica

Due metà, e solo una è privata.

Pensala come un negozio. Lovable ti costruisce una vetrina: le pagine, i pulsanti, i moduli, e quella vetrina viene consegnata per intero a ogni visitatore. Chiunque può leggerla. Non è un difetto; un browser non può mostrare una pagina che non gli è stata data. Dietro la vetrina c'è un magazzino, il tuo database Supabase, che è un edificio separato con la sua serratura.

L'errore che costa caro è dare per scontato che la vetrina comandi il magazzino. Non lo comanda. Togliere un pulsante dalla tua app è staccare un cartello, non chiudere a chiave una porta. Il tuo database è raggiungibile direttamente, via internet, da chiunque ne conosca l'indirizzo, e quell'indirizzo è stampato sulla vetrina, perché è così che la tua stessa app ci parla.

Una chiave nel codice della tua app Lovable è un problema?

Di solito no. Dipende interamente da quale chiave sia, e ce ne sono due tipi che si somigliano quasi in tutto.

Una chiave pubblicabile dice a quale progetto appartiene una richiesta, e nulla di più. Supabase la chiama sb_publishable_… nei progetti nuovi e anon in quelli più vecchi, ed è fatta per stare nella tua app dove chiunque può leggerla. Una chiave segreta è l'opposto: sb_secret_…, oppure service_role nei progetti più vecchi. Ignora ogni regola tu abbia impostato e può leggere e scrivere ogni riga di ogni tabella.

Le due stanno una accanto all'altra nel pannello Supabase, hanno la stessa lunghezza e si comportano allo stesso modo mentre costruisci. Copiare quella sbagliata è un solo clic messo male, e dopo non si rompe niente, ed è esattamente per questo che passa inosservato. Se vuoi la versione lunga di come distinguerle, ne abbiamo scritta una.

Che cosa decide se degli estranei possono leggere i tuoi dati

La Row Level Security, un interruttore per tabella in Supabase che decide riga per riga chi può vedere cosa. Spenta, la tua chiave pubblicabile legge l'intera tabella. Accesa e con una policy scritta, legge solo le righe che quella policy permette.

E ora la parte che conta specificamente per un'app Lovable. Supabase attiva la Row Level Security per impostazione predefinita sulle tabelle create nel Table Editor del pannello, quello a clic. Le tabelle create eseguendo SQL non la ricevono attiva e vanno accese deliberatamente.

Eseguire SQL è il modo in cui un builder crea tabelle per te.

Quindi la forma consueta di un progetto Lovable è una manciata di tabelle che hai aggiunto cliccando, che sono protette, accanto alle tabelle generate per te, che potrebbero non esserlo. Nell'editor sembrano identiche. Nessuna delle due si lamenterà. E accendere l'impostazione non è ancora il traguardo, perché una tabella con la Row Level Security attiva e una policy che permette a tutti è aperta in un modo che si legge come chiuso.

Come controllare la tua app Lovable in una decina di minuti

Apri Supabase, poi Authentication → Policies. Scorri l'elenco delle tabelle. Tutto ciò che risulta con la Row Level Security disattivata è leggibile da chiunque abbia l'indirizzo del tuo progetto, che è pubblico.

Controlla la chiave che la tua app spedisce. In Supabase vai su Settings → API. Se la chiave che la tua app usa è quella pubblicabile, è corretto e non c'è nulla da fare. Se una chiave segreta è mai stata incollata nel tuo progetto Lovable, rigenerala lì per prima cosa: cancellarla dal codice non chiude la porta, perché il valore vecchio esiste ancora nelle copie in cache del tuo sito.

Guarda i tuoi bucket di storage. Tutto ciò che è contrassegnato come pubblico può essere elencato e scaricato da chiunque, che la tua app ci rimandi o no.

E poi guarda da fuori. I controlli qui sopra ti dicono che cosa è impostato; non ti dicono che cosa un estraneo raggiunge davvero. È quel vuoto che la nostra scansione gratuita riempie: legge il tuo sito dal vivo come farebbe qualsiasi visitatore e ti dà un voto in una ventina di secondi, senza account: scansiona la tua app.

La cosa più veloce e utile che puoi fare oggi è aprire Authentication → Policies in Supabase e leggere l'elenco. Se una tabella dice che la Row Level Security è disattivata, comincia da quella, e se preferisci attraversare tutta la superficie come un elenco, la checklist di sicurezza in 10 minuti copre il resto.