Ben, Supabase uygulamanızın RLS güvenlik denetimini yaparım

Supabase projenizde RLS'in açık olması güvenli olduğu anlamına gelmez.

En yaygın hata politika eksikliği değil, doğru görünen ama sızdıran politikadır:
kısıtlayıcı bir politikayı sessizce etkisizleştiren permissive politika, kendi
izolasyonu olmayan bir üyelik tablosuna bağlı politika, ya da RLS'in hiç
açılmadığı tablo. Tek kullanıcıyla yapılan testlerin hepsi yeşil kalır; sızıntı
ikinci kiracı (ikinci kullanıcı) geldiğinde ortaya çıkar.

NE YAPIYORUM

Salt-okunur denetim: hiçbir veri yazılmaz, değiştirilmez. Her tablo ve her rol
(anon / authenticated / service_role / özel roller) için gerçek erişim haritası
çıkarılır:

- RLS kapalı tablolar
- Politikası olmayan tablolar
- USING (true) gibi herkese açık politikalar
- Yazma yollarında eksik WITH CHECK
- Çakışan permissive / restrictive politikalar
- Müşteri kodundan erişilebilen service-role anahtarı riski
- 30 Ekim 2026 sonrası oluşturulan tabloların Data API'ye otomatik açılmaması
(42501 permission denied) sınıfı

Bulgular önem sırasına dizilir, her biri için uygulanabilir düzeltme SQL'i verilir.

NEDEN BANA GÜVENEBİLİRSİNİZ

Metot kendini test eder: bilerek bozuk bir şema üzerinde çalıştırılan aynı test
suite'i, düzeltilmiş şemada yeşile döner. Bu fixture'ı sipariş öncesinde Bionluk
mesajından paylaşıyorum; kendi makinenizde iki saniyede doğrularsınız, Docker
gerekmez. Yani "güven bana" değil, "çalıştır ve gör".

TESLİM

- Tarama: 2 gün
- Tam denetim (yazılı rapor + düzeltme planı): 3 gün
- Denetim + düzeltme uygulaması: 5 gün

Ödeme teslim ve retest üzerine.

NOT

Bu bir penetrasyon testi ya da HIPAA/SOC2 sertifikasyonu değildir; veri erişim
sınırının odaklı denetimidir. Sorun başka yerdeyse ilk sorgu onu gösterir ve
siparişten önce söylerim.