// docs / security guides / bolt.new checklist

Bolt.new security checklist: 23 items before ship

Bolt.new (StackBlitz WebContainer) runs your dev environment in the browser, generates full-stack JS in minutes, and publishes to Bolt hosting by default or to Netlify (Bolt docs). This checklist targets Bolt-specific risks: secrets that were safe in the dev container leak once the project is exported, Express CORS defaults are permissive, session cookies need explicit HttpOnly flags, and credentials pasted into the terminal or chat are hard to take back. 23 items across secrets, database, auth, headers, deployment, and Bolt-specific gotchas.

PRE = pre-deploy (audit your source). DEPLOY = at deploy time. POST = post-deploy verification.

Secrets et clés API (5 éléments)

Le WebContainer de Bolt s'exécute dans le navigateur ; l'exportation vers GitHub ou Netlify déplace les secrets du conteneur isolé vers le référentiel public.

PRE — Never paste service-role keys into the Bolt terminal or chat. Anything you paste there is hard to take back. Keep keys in .env or your host's environment settings instead.
PRE — Create a .env file, never hardcode secrets in code. Le conteneur de développement de Bolt isole bien .env, mais lorsque vous exportez vers GitHub, .env doit être dans .gitignore.
PRE — Confirm .gitignore excludes .env, .env.local, .env.*.local. Bolt échafaude généralement cela correctement, mais vérifiez avant l'exportation.
DEPLOY — Set secrets in Netlify Environment Variables, not in code. Netlify → Paramètres du site → Créer et déployer → Environnement. Ajoutez-y vos clés, limitées à Production.
POST — Run Secrets in JavaScript Bundles on the deployed URL. Si une clé atteint le déploiement Netlify, l'analyse la trouvera.

Contrôle d'accès à la base de données (3 éléments)

Bolt échafaude généralement avec Supabase ou Convex. Les deux ont des modes d'ouverture par défaut qui nécessitent des politiques explicites.

PRE — If using Supabase, enable RLS on every public table. Bolt's scaffold might not include ENABLE ROW LEVEL SECURITY or policies. Add both in the migration.
PRE — Write policies that validate user ownership. Chaque politique doit cocher auth.uid() = user_id ou équivalent. Les stratégies générées par Bolt manquent parfois cela.
POST — Run a FixVibe scan on the deployed app. Check the Supabase Row-Level Security result: it shows any table an anonymous visitor can read with your public key.

Authentification et sessions (4 éléments)

Bolt génère une authentification Express ou Next.js. Le risque réside dans la configuration des cookies et la validation des jetons.

PRE — Ensure session cookies are HttpOnly; Secure; SameSite=Lax. Bolt génère parfois des cookies sans ces indicateurs. Vérifiez-les ou ajoutez-les manuellement.
PRE — Check Bolt's generated auth handlers for server-side token verification. Si getSession() est utilisé, remplacez-le par une recherche backend vérifiée.
PRE — Verify the sign-in redirect guard. Le paramètre next doit commencer par /, jamais //. Bolt saute parfois cela ; ajoutez-le manuellement si nécessaire.
POST — Test logout clears the session cookie. Connectez-vous, déconnectez-vous, inspectez les cookies. Le cookie de session doit être supprimé lors de la déconnexion.

HTTP en-têtes et CSP (3 éléments)

Les échafaudages Express/Next.js de Bolt incluent rarement CSP. Les hôtes statiques nécessitent une configuration explicite.

PRE — Add middleware for security headers if using Express. L'échafaudage Express de Bolt nécessite un middleware manuel pour CSP, HSTS, X-Frame-Options.
PRE — If using Next.js, ensure src/middleware.ts exists with CSP. Bolt pourrait l'échafauder, mais vérifiez que la logique occasionnelle CSP est correcte.
POST — Run HTTP Security Headers on the deployed Netlify URL. L'analyse signale des en-têtes manquants.

Hygiène de déploiement (5 éléments)

Bolt exporte vers GitHub et Netlify. Les deux nécessitent une configuration minutieuse.

DEPLOY — Ensure Bolt exports include .gitignore with .env listed. Vérifiez que le référentiel GitHub ne contient pas de fichiers .env après l'exportation.
DEPLOY — Set Netlify env vars via Site settings, not GitHub secrets. Les variables d'environnement de Netlify sont chiffrées au repos ; GitHub les secrets sont conçus pour CI, pas pour le déploiement.
DEPLOY — Audit the Netlify deploy log for secret echo. Si le journal de construction imprime une variable d'environnement, elle est compromise.
DEPLOY — Configure Netlify build command to not run echo $SECRET. Vérifiez votre package.json et créez des scripts pour toute sortie secrète.
POST — Verify Netlify redirect for HTTP → HTTPS exists. Bolt les applications devraient forcer HTTPS. Netlify peut appliquer cela via les paramètres.

Bolt pièges spécifiques (3 éléments)

Modèles uniques au flux WebContainer-to-export de Bolt :

L'environnement de développement de WebContainer isolation is lost on export. Bolt isole les secrets en toute sécurité, mais une fois que vous exportez vers GitHub, vous êtes responsable de .gitignore et de la discipline env-var.
Treat the terminal and chat like a shared log. Don't paste credentials into either; put them in .env or your host's environment settings.
Express cors({ origin: '*' }) is the default. L'échafaudage Express de Bolt inclut souvent le permissif CORS. Remplacez par cors({ origin: 'https://yourdomain.com', credentials: true }).

Prochaines étapes

Examinez le general vibe coding security checklist pour 51 éléments multi-outils. Voir step-by-step hardening pour CSP, RLS et les modèles d'authentification.