Seguridad

Security lee el código de tu aplicación en busca de vulnerabilidades y ajustes arriesgados: abre Manage, luego Security.

Dos análisis

Cada uno cuesta créditos, y su precio está escrito junto a su botón, con la fecha de su última ejecución. Pulsar el mosaico Security en Visión general inicia un análisis rápido si no se ha hecho ninguno, y gasta esos créditos. Out of date significa que el código ha cambiado desde entonces. Cuando nada del código ni del contexto ha cambiado desde el último análisis, la página lo dice.

Scan on publish, en el análisis rápido, lo ejecuta por sí solo después de cada publicación que cambió el código, al mismo precio. Está desactivado hasta que lo activas. La ventana Publish tiene el mismo interruptor. Consulta Publica en la web.

Qué encontró

Detected issues enumera cada problema, con su gravedad, dónde está y qué hacer.

• Send to chat to fix pone la solución en el chat, para que la leas y la envíes. Fix all in chat lo hace con todos los problemas a la vez.
• Cuando un problema es una colección que cualquiera puede leer, Require sign-in o Close to your team la cierra al momento, sin cambiar el código. Consulta Quién puede ver qué.
• Después de una solución, los problemas se comprueban de nuevo, y la lista dice cuáles han desaparecido y cuáles siguen ahí.

«No issues found» significa que el análisis no encontró nada. Lee el código en busca de errores comunes, así que no puede descartar todos los riesgos.

Add context

El analizador solo conoce el código. Add context, arriba a la derecha, le dice lo que el código no puede: para qué sirve la aplicación, quién la usa, qué datos guarda y qué es deliberado.

A shop for a bakery. Customers order without an account. We store names,
phone numbers and addresses for delivery. The menu and prices are public on purpose.

Con eso, un menú público no se señala como una fuga, y los pedidos con direcciones se comprueban como los datos privados que son.

Libraries

React, Supabase y las demás bibliotecas en las que funciona toda aplicación las mantiene Setherion y se comprueban en busca de problemas de seguridad conocidos en cada versión. No tienes nada que actualizar. La tarjeta muestra No known issues y la fecha de la última comprobación.

Siempre activo

Parte de la protección no espera a un análisis:

• Una clave secreta escrita en el código de la aplicación nunca se publica. La publicación se rechaza, sin coste, diga lo que diga el análisis, y el mensaje nombra el tipo de clave y el archivo y la línea. Reconoce las claves de los servicios habituales de IA, pagos, correo, mensajería y alojamiento de código, las claves privadas y las claves de administrador de un proyecto de Supabase. Las claves que son públicas por diseño, como una clave anon de Supabase o una clave publicable de Stripe, se dejan en paz.
• Las claves de los servicios conectados permanecen en los servidores de Setherion, y la aplicación publicada llama a través de Setherion.
• Un registro solo lo lee la persona que lo guardó, y tu equipo, hasta que lo abres en Access rules.
• Cada construcción y cada cambio se abre fuera de la vista antes de que lo veas, y se devuelve a reparar si falla. Consulta Antes de que salga.
• En Business, una aplicación puede hacerse privada, de modo que solo la abren las personas de tu espacio de trabajo que hayan iniciado sesión. Consulta Visibility.
• Los correos que envía la aplicación se detienen solos si muchos rebotan o se marcan como spam. Consulta Correos electrónicos.