// docs / baas security
Sécurité BaaS
Les plateformes Backend-as-a-Service — Supabase, Firebase, Clerk, Auth0 — gèrent les parties d'une application que les outils de codage IA traitent avec le moins de soin : sécurité au niveau des lignes, règles de stockage, configuration du fournisseur d'identité et quelles clés sont livrées au navigateur. Cette section est une bibliothèque ciblée d'articles sur ce à quoi ces mauvaises configurations ressemblent réellement en production et comment les trouver et les corriger. Chaque article se termine par un scan en un clic de votre propre déploiement.
// scanner rls supabase
Scanner RLS Supabase : détecter les tables avec sécurité au niveau des lignes absente ou défaillante
What a passive RLS scan can prove from outside the database, the four shapes of broken RLS that AI coding tools generate by default, how FixVibe's Supabase check works, and the exact SQL to apply once a missing policy is found.
Scannez votre application pour repérer le RLS manquant →
// exposition de clé de rôle de service
Clé de rôle de service Supabase exposée en JavaScript
Ce qu'est la clé de rôle de service, pourquoi elle ne doit jamais vivre dans le navigateur, et les trois façons dont les outils de codage IA la livrent accidentellement en production. Inclut la forme JWT qui identifie une clé fuitée, un guide de réponse immédiate et comment le scan de bundle FixVibe la détecte.
Vérifiez si des secrets se sont retrouvés dans votre bundle →
// durcissement du stockage
Liste de contrôle de sécurité des buckets Supabase Storage
Une liste de contrôle ciblée de 22 éléments pour durcir Supabase Storage — visibilité des buckets, politiques RLS sur la table
objects, validation des types MIME, gestion des URL signées, mesures anti-énumération et hygiène opérationnelle. Chaque élément peut être réalisé en 5-15 minutes.Scannez les buckets publics et le stockage listable anonymement →
// scanner de règles firebase
Scanner de règles Firebase : trouver les règles ouvertes dans Firestore, Realtime Database et Storage
Comment fonctionne un scanner de règles Firebase depuis l'extérieur, les motifs de mode test que génèrent les outils IA, les trois services Firebase qui ont chacun besoin de leur propre audit de règles (Firestore, Realtime Database, Storage), et ce qu'un scan peut prouver sans identifiants.
Vérifier les règles de lecture/écriture ouvertes →
// explication de syntaxe de règles
Firebase allow read, write: if true expliqué
Ce que fait réellement la règle
allow read, write: if true;, pourquoi Firebase la livre comme défaut du mode test, le comportement exact qu'un attaquant voit, et les quatre façons de la remplacer par une règle sûre pour la production. Inclut une requête d'audit prête à coller et un plan de remédiation en cinq étapes.Scannez votre URL de production →
// durcissement de clerk
Liste de contrôle de sécurité Clerk
Une liste de contrôle de 20 éléments pour durcir une intégration Clerk — hygiène des clés d'environnement, paramètres de session, vérification des webhooks, permissions d'organisation, limitation des templates JWT et surveillance opérationnelle. Éléments avant lancement et continus groupés par domaine.
Vérifier les mauvaises configurations auth/session →
// durcissement de auth0
Liste de contrôle de sécurité Auth0
Un audit Auth0 de 22 éléments couvrant le type d'application et les grants, les listes blanches d'URL de callback/logout, la rotation des refresh tokens, la sécurité des actions personnalisées, RBAC et serveurs de ressources, la détection d'anomalies et la surveillance des logs de tenant. Attrape les éléments que les applications SaaS générées par IA manquent systématiquement.
Vérifier l'exposition du fournisseur d'identité →
// scanner parapluie
Scanner de mauvaises configurations BaaS : trouver les chemins de données publics dans Supabase, Firebase, Clerk et Auth0
Pourquoi les fournisseurs BaaS échouent en sécurité de la même façon, les cinq classes de mauvaises configurations que chaque application BaaS doit auditer, comment le scan BaaS parapluie de FixVibe fonctionne à travers les quatre fournisseurs, la comparaison côte à côte de ce que chaque scanner peut prouver, et une comparaison honnête avec Burp, ZAP et les outils SAST.
Trouvez les chemins de données publics avant les utilisateurs →