Ben, Supabase ve Lovable uygulamanı güvenlik için denetlerim

Lovable, Bolt, Cursor ya da Supabase ile hızla yayına aldığın uygulamanın verisini kimlerin okuyabildiğini ölçüyor, açıkları kapatıyorum.

2025'te Lovable vitrinindeki 1.645 uygulama tarandı; 170'inde veritabanı tabloları herkese açıktı. Ad, e-posta, telefon, adres ve API anahtarları tarayıcıdan okunabiliyordu. Sebep çoğu zaman tek satır: tabloya satır düzeyi güvenlik (RLS) kuralı yazılmamış. Uygulama sorunsuz çalıştığı için kimse fark etmiyor.

DENETİM KAPSAMI
- Tüm tablolarda RLS durumu ve kuralların kullanıcıları gerçekten ayırıp ayırmadığı
- Anonim anahtarla dışarıdan okunabilen veriler, gerçek isteklerle doğrulanmış
- Tarayıcıya giden kodda servis rolü, gizli ya da üçüncü taraf API anahtarları
- Kayıt, giriş, şifre sıfırlama, davet ve dosya yükleme akışları
- Storage kovaları, edge function ve RPC yetkileri
- Üretime Hazırlık paketinde: yedekleme, test ve canlı ortam ayrımı, hata izleme

SÜREÇ
1. Kapsam ve yetki: neyin test edileceğini yazılı netleştiriyoruz
2. Tarama ve doğrulama: her bulgu tekrar edilebilir bir istekle kanıtlanır
3. Düzeltme: RLS politikaları ve migration dosyaları (Standart ve Pro)
4. Tekrar test: aynı istekler yeniden koşulur, öncesi ve sonrası belgelenir

TESLİMAT
Önem derecesine göre sıralı rapor, her bulgu için kanıt, etki ve düzeltme adımı. Düzeltmeli paketlerde çalışır durumdaki kod ve tekrar test kaydı.

ÇALIŞMA İLKELERİ
Yalnız sahibi olduğun sistemde, yazılı kapsamla çalışırım. Gerçek kullanıcı verisini indirmem ve saklamam. Kontrol edilen her noktayı ve sonucunu açıkça yazarım.

Uygulamanın adresini ve hangi araçla yapıldığını yaz; kapsamı ve uygun paketi aynı gün söyleyeyim.