10-хвилинний чекліст безпеки для vibe-coded застосунків

Секретні ключі у фронтенді

У браузері мають бути лише публічні ключі (як-от pk_live_ чи anon-ключ Supabase). Якщо в коді застосунку лежить секретний ключ (sk_live_, service_role) — негайно замініть його і перенесіть у серверну змінну середовища.

CORS із зірочкою та відкриті API-ендпоїнти

Не дозволяйте будь-якому сайту звертатися до вашого API. Обмежте доступ власним доменом замість того, щоб дозволяти всі джерела — інакше чужі сайти зможуть користуватися ним від імені ваших відвідувачів.

Опубліковані Source maps

Вимкніть вивантаження source maps у продакшн-збірці, щоб ваш початковий код не можна було завантажити з робочого сайту.

Увімкніть Row Level Security (Supabase)

Увімкніть RLS для кожної таблиці. Без нього будь-хто з вашим публічним ключем може прочитати — або змінити — всі ваші дані.

Закрийте публічні сховища файлів

Робіть сховища приватними, якщо файл справді не призначений для всіх, і переконайтеся, що перегляд списку файлів вимкнено.

Сховайте чутливі файли

Переконайтеся, що файли на кшталт /.env, /.git і дампи бази даних (.sql) не відкриваються просто з адреси вашого сайту.

Додайте базові заголовки безпеки

Увімкніть кілька стандартних заголовків (HSTS, X-Content-Type-Options і простий Content-Security-Policy) — більшість хостингів додає їх одним перемикачем.

Увімкніть автоматичні резервні копії бази даних

Увімкніть автоматичне резервне копіювання (наприклад, point-in-time recovery у Supabase або дамп за розкладом), а тоді справді спробуйте відновитися з копії — щоб знати, що вона працює.

Тримайте код у Git

Завантажте проєкт у приватний репозиторій, щоб невдалу зміну чи видалений файл завжди можна було повернути.