Seu app do Bolt é seguro?

O Bolt escreve o projeto inteiro: as telas, as ligações e as tabelas de banco de dados por baixo. Essa última parte é a que você nunca vê, e é onde começa de verdade quase toda história de "meu app do Bolt está vazando dados".

Aqui está o que guia após guia erra: o código que o Bolt escreveu raramente é o problema. O problema costuma ser uma única chave por tabela no seu banco que nunca foi ligada, por causa de como as tabelas foram criadas e não porque alguém errou.

O que o Bolt entrega a um visitante e o que ele guarda

Duas metades, e só uma delas é privada.

Pense numa loja. O Bolt constrói para você uma vitrine (páginas, botões, formulários), e essa vitrine inteira é entregue a cada visitante que carrega o seu site. Tem que ser assim. Um navegador não exibe uma página que não recebeu, então não existe versão disso em que a frente do seu app seja secreta. Atrás dela fica um estoque, o seu banco no Supabase, um prédio separado com a própria fechadura.

A suposição que sai caro é que a vitrine comanda o estoque. Ela não comanda. O seu banco fica na internet com endereço próprio, e esse endereço está impresso na vitrine porque é assim que o seu próprio app chega até ele. Quem lê os seus arquivos publicados lê o endereço também, e daí consegue falar com o estoque sem nunca atravessar a sua loja.

É problema o meu app do Bolt ter uma chave de API dentro?

Normalmente não. Depende inteiramente de qual chave é, e existem duas que parecem quase idênticas.

Uma chave publicável nomeia o seu projeto e nada além disso. O Supabase a chama de sb_publishable_… nos projetos novos e anon nos antigos, e ela foi feita para ficar num navegador, onde qualquer um pode ler. Uma chave secreta (sb_secret_…, ou service_role antes da renomeação) é o oposto. Ela ignora todas as regras que você escreveu e lê e escreve em toda linha de toda tabela.

As duas ficam lado a lado no painel do Supabase, têm tamanho parecido e se comportam igual enquanto você constrói. Nada quebra se a errada for copiada, e é exatamente por isso que ela sobrevive até a produção. A versão longa de como diferenciar leva cerca de um minuto de leitura.

A chave que decide a quem o seu banco responde

Row Level Security é uma configuração por tabela no Supabase que decide, linha a linha, quem pode ler o quê. Desligada, a sua chave publicável devolve a tabela inteira. Ligada, com uma política escrita, devolve só as linhas que a política permite.

Agora a parte que vale especificamente para um projeto do Bolt. O Supabase liga o Row Level Security por padrão nas tabelas criadas no Table Editor do painel, aquele de clicar. Tabelas criadas rodando SQL não recebem isso e precisam ser ligadas de propósito.

O Bolt cria as suas tabelas escrevendo SQL.

Então o formato usual de um projeto do Bolt é um conjunto de tabelas geradas que chegaram destrancadas, ao lado do que você acrescentou na mão depois, que não. As duas são indistinguíveis no editor e as duas funcionam perfeitamente. E ligar a configuração também não é a linha de chegada: uma tabela com Row Level Security ligado e uma política que permite todo mundo está aberta enquanto se declara fechada.

Como conferir o seu próprio app do Bolt em uns dez minutos

Leia a sua lista de políticas. No Supabase, Authentication → Policies mostra cada tabela com o estado do Row Level Security. Comece por tudo que estiver marcado como desligado; isso pode ser lido por qualquer um que tenha o endereço do seu projeto.

Confirme qual chave você publicou. Settings → API no Supabase mostra as duas. A publicável dentro do seu app está certa e não precisa de nada. Se alguma vez colaram uma chave secreta no projeto, troque a chave lá antes de mexer no código: apagar a linha não fecha a porta, porque o valor antigo sobrevive em cópias em cache do seu site.

Confira os seus buckets de armazenamento. Um bucket marcado como público pode ser listado e baixado por qualquer um, com ou sem link do seu app para os arquivos dele.

E então olhe de fora. Tudo acima diz o que está configurado. Não diz o que um estranho realmente alcança, que é outra pergunta e é a que importa. O nosso scan gratuito lê o seu site no ar do jeito que qualquer visitante leria e te dá uma nota em uns 20 segundos, sem precisar de conta: escaneie seu app.

Abra Authentication → Policies no Supabase e leia a lista de cima a baixo. Se alguma coisa ali disser que o Row Level Security está desligado, é por essa tabela que se começa, e o checklist de segurança de 10 minutos cobre o resto da superfície depois disso.