// docs / security guides / v0 checklist

v0 security checklist: 22 items for Next.js

v0 generates React + Tailwind + shadcn/ui components and full Next.js apps for Vercel. This checklist targets v0-specific risks: design iterations that re-add dangerouslySetInnerHTML, exported codebases that lose middleware, Server Actions that skip auth verification, and environment variables that have to be set again once the code lives in your own repo. 22 items across secrets, database, auth, headers, deployment, and v0-specific gotchas.

PRE = pre-deploy (audit your source). DEPLOY = at deploy time. POST = post-deploy verification.

Secrets et clés API (4 éléments)

La v0 gère bien les variables d'environnement dans l'éditeur, mais les dépôts exportés n'héritent pas de cette structure.

PRE — After exporting, audit all NEXT_PUBLIC_ vars in the exported .env. Tout ce qui porte le préfixe NEXT_PUBLIC_ est livré dans le package client. Confirmez qu'ils sont sécurisés (API points de terminaison, clés anonymes uniquement, jamais de rôles de service).
PRE — Verify .env.local (or .env.*.local) is in .gitignore. Lorsque vous exportez depuis la v0, le dépôt exporté doit avoir .env*.local dans .gitignore. Vérifiez ceci.
Le code exporté de PRE — Check that v0 didn't hardcode Stripe / Anthropic / OpenAI test keys. v0 inclut parfois des clés sk_test_* ou pk_test_* codées en dur dans les composants. Remplacez par des variables d'environnement avant le déploiement en production.
POST — Run Secrets in JavaScript Bundles on the deployed Vercel Preview. Si une clé atteint le paquet, l'analyse la trouve.

Contrôle d'accès à la base de données (3 éléments)

La récupération des données de la v0 passe généralement par Next.js Actions du serveur. La connexion à la base de données elle-même est côté serveur, mais les politiques RLS doivent être explicites.

PRE — If using Supabase, enable RLS on every public table. v0 doesn't generate RLS by default. Add ENABLE ROW LEVEL SECURITY to every CREATE TABLE migration.
PRE — Write explicit RLS policies per table and role. Chaque stratégie doit valider la propriété de l'utilisateur via auth.uid().
POST — Run the Supabase Row-Level Security active check on a verified domain. Le contrôle confirme RLS l'exécution.

Authentification et sessions (4 éléments)

v0 échafaude l'authentification mais n'applique pas automatiquement la vérification côté serveur.

PRE — Ensure Server Actions use getUser(), not getSession(). Remplacez tout getSession() dans les fonctions d'action du serveur par await supabase.auth.getUser().
PRE — Verify that magic-link tokens have server-enforced expiry. Supabase par défaut est de 1 heure. Si le code généré par la v0 le remplace, revenez à la valeur par défaut.
PRE — Check the sign-in redirect guard. Le paramètre next doit commencer par /, jamais //. La v0 inclut généralement cela, mais vérifiez.
POST — Test logout clears the session. Connectez-vous, déconnectez-vous, inspectez les cookies (DevTools → Application → Cookies). Le cookie de session doit être effacé.

HTTP en-têtes et CSP (3 éléments)

Les applications exportées de la v0 nécessitent un middleware pour CSP. Le CSP interne de l'éditeur n'est pas conservé.

PRE — Create src/middleware.ts with CSP if it doesn't exist. v0 exporte parfois sans middleware. S'il est manquant, générez-le avec un CSP nonce.
PRE — Verify CSP includes 'strict-dynamic' and a per-request nonce. v0 CSP dans l'éditeur est sûr mais la version exportée peut être incomplète.
POST — Run HTTP Security Headers on a Vercel Preview. L'analyse signale des en-têtes manquants et corrige les instructions.

Hygiène de déploiement (5 éléments)

v0 exporte vers votre dépôt GitHub et vous déployez sur Vercel. La configuration de l'environnement relève de votre responsabilité.

DEPLOY — Verify .env.local is in .gitignore in the exported repo. Exécutez git ls-files .env* pour vérifier.
DEPLOY — Set production env vars in Vercel Settings → Environment Variables. Portez chacun sur Production uniquement. Ne partagez jamais sk_live_* avec Aperçu.
DEPLOY — Audit Vercel build logs for secret echo. Vérifiez qu'aucun echo $SECRET ou équivalent ne se trouve dans votre commande de build.
DEPLOY — Confirm Vercel Preview redeploys work correctly. Chaque déploiement d'aperçu doit générer un nouveau CSP nonce.
POST — Rotate any test key that reached production. Même les touches sk_test_* doivent être pivotées après l'exposition en production.

Les pièges spécifiques à la v0 (3 éléments)

Modèles uniques à l'exportation de l'éditeur vers le dépôt de la v0 :

dangerouslySetInnerHTML can come back during design iterations. Review each exported version and replace any occurrences with sanitized alternatives (like react-markdown with remark).
L'exportation src/middleware.ts de Exported middleware is sometimes incomplete. v0 peut manquer de CSP ou HSTS. Vérifiez qu'il est terminé avant le déploiement.
Server Actions don't automatically verify auth. v0 génère des actions de serveur sans vérifications d'authentification intégrées. Ajoutez manuellement const { user } = await supabase.auth.getUser() à chaque action du serveur qui change l’état.

Prochaines étapes

Vérifiez le general vibe coding security checklist pour 51 éléments multi-outils. Examinez ensuite step-by-step hardening pour des modèles plus approfondis sur la sécurité CSP, RLS et Server Action.