Sécurité

Security lit le code de votre application à la recherche de vulnérabilités et de réglages risqués : ouvrez Manage, puis Security.

Deux analyses

Chacune coûte des crédits, et son prix est écrit à côté de son bouton, avec la date de sa dernière exécution. Appuyer sur la vignette Security de la Vue d’ensemble lance une analyse rapide s’il n’y en a eu aucune, et dépense ces crédits. Out of date signifie que le code a changé depuis. Quand rien n’a changé dans le code ou dans le contexte depuis la dernière analyse, la page le dit.

Scan on publish, sur l’analyse rapide, la lance toute seule après chaque publication qui a modifié le code, au même prix. Elle est désactivée tant que vous ne l’activez pas. La fenêtre Publish a le même interrupteur. Consultez Publier sur le web.

Ce qu’elle a trouvé

Detected issues liste chaque problème, avec sa gravité, son emplacement et ce qu’il faut faire.

• Send to chat to fix met la correction dans le chat, pour que vous la lisiez et l’envoyiez. Fix all in chat le fait pour tous les problèmes d’un coup.
• Quand un problème est une collection que n’importe qui peut lire, Require sign-in ou Close to your team la ferme sur-le-champ, sans modifier le code. Consultez Qui peut voir quoi.
• Après une correction, les problèmes sont vérifiés de nouveau, et la liste indique lesquels ont disparu et lesquels restent.

« No issues found » signifie que l’analyse n’a rien trouvé. Elle lit le code à la recherche d’erreurs courantes, donc elle ne peut pas écarter tous les risques.

Ajouter du contexte

L’analyseur ne connaît que le code. Add context, en haut à droite, lui dit ce que le code ne peut pas dire : à quoi sert l’application, qui l’utilise, quelles données elle conserve, et ce qui est voulu.

A shop for a bakery. Customers order without an account. We store names,
phone numbers and addresses for delivery. The menu and prices are public on purpose.

Avec cela, un menu public n’est pas signalé comme une fuite, et les commandes avec adresses sont vérifiées comme les données privées qu’elles sont.

Bibliothèques

React, Supabase et les autres bibliothèques sur lesquelles tourne chaque application sont maintenues par Setherion et vérifiées à chaque version pour détecter les problèmes de sécurité connus. Vous n’avez rien à mettre à jour. La carte affiche No known issues et la date de la dernière vérification.

Toujours actif

Certaines protections n’attendent pas une analyse :

• Une clé secrète écrite dans le code de l’application n’est jamais publiée. La publication est refusée, gratuitement, quoi que dise l’analyse, et le message nomme le type de clé ainsi que le fichier et la ligne. Elle reconnaît les clés des services courants d’IA, de paiement, d’e-mail, de messagerie et d’hébergement de code, les clés privées et les clés d’administration d’un projet Supabase. Les clés publiques par conception, comme une clé anon de Supabase ou une clé publiable de Stripe, sont laissées de côté.
• Les clés des services connectés restent sur les serveurs de Setherion, et l’application publiée passe par Setherion pour appeler.
• Un enregistrement n’est lu que par la personne qui l’a enregistré, et votre équipe, jusqu’à ce que vous l’ouvriez dans Access rules.
• Chaque construction et chaque modification est ouverte en cachette avant que vous la voyiez, et renvoyée en réparation si elle plante. Consultez Avant la mise en ligne.
• Sur Business, une application peut être rendue privée, de sorte que seules les personnes connectées de votre espace de travail l’ouvrent. Consultez Visibility.
• Les lettres que l’application envoie s’arrêtent toutes seules si beaucoup rebondissent ou sont marquées comme spam. Consultez E-mails.