Supabase Row Level Security (RLS) : verrouillez vos tables

Exécutez ceci dans le SQL Editor de Supabase pour lister chaque table du schéma public exposé dont le RLS est encore désactivé. Le Security Advisor du dashboard signale le même problème sous le nom « RLS disabled in public ».

select tablename
from pg_tables
where schemaname = 'public'
  and rowsecurity = false;

Activez le RLS sur chaque table, puis ajoutez une policy par opération. Limitez les policies au rôle authenticated et comparez la colonne propriétaire de la ligne à auth.uid(). Les insertions et mises à jour ont besoin de with check pour que les utilisateurs ne puissent pas écrire des lignes appartenant à quelqu’un d’autre.

alter table public.profiles enable row level security;

create policy "Users read own profile"
  on public.profiles for select
  to authenticated
  using ((select auth.uid()) = user_id);

create policy "Users update own profile"
  on public.profiles for update
  to authenticated
  using ((select auth.uid()) = user_id)
  with check ((select auth.uid()) = user_id);

Remplacez les policies provisoires comme using (true) par de vraies conditions. Ne fondez pas l’autorisation sur user_metadata — les utilisateurs peuvent le modifier eux-mêmes ; utilisez plutôt app_metadata ou une table de rôles. Les vues contournent le RLS sauf si elles sont créées avec security_invoker = true, et les buckets de stockage ont besoin de leurs propres policies sur storage.objects.

Interrogez votre API exactement comme le ferait un attaquant : avec seulement la clé publique et sans session utilisateur. Si cela renvoie des lignes qui ne devraient pas être publiques, vos policies sont trop ouvertes.

curl "https://<project>.supabase.co/rest/v1/profiles?select=*" \
  -H "apikey: <anon-key>" \
  -H "Authorization: Bearer <anon-key>"

N’utilisez la clé service_role (sb_secret_) que dans du code serveur, comme des routes API ou des Edge Functions, jamais derrière un préfixe NEXT_PUBLIC_ ou VITE_. Si elle a déjà été livrée au navigateur, faites-la tourner depuis le dashboard.