Bezpieczeństwo

Sekcja Security czyta kod twojej aplikacji w poszukiwaniu luk w zabezpieczeniach i ryzykownych ustawień: otwórz zakładkę Manage, a potem Security.

Dwa skany

Każdy kosztuje kredyty, a jego cena jest napisana obok przycisku, razem z informacją, kiedy skan ostatnio się odbył. Kliknięcie kafelka Security w sekcji Przegląd uruchamia szybki skan, jeśli żaden się jeszcze nie odbył, i zużywa te kredyty. Out of date oznacza, że kod zmienił się od tamtej pory. Gdy od ostatniego skanu nic w kodzie ani w kontekście się nie zmieniło, strona o tym informuje.

Przełącznik Scan on publish przy szybkim skanie uruchamia go sam po każdej publikacji, która zmieniła kod, za tę samą cenę. Jest wyłączony, dopóki go nie włączysz. To samo ustawienie jest w oknie Publish. Zobacz Publikowanie w sieci.

Co znalazł

Detected issues pokazuje każdy problem: jak poważny jest, gdzie się znajduje i co zrobić.

• Send to chat to fix wstawia poprawkę do czatu, do przeczytania i wysłania. Fix all in chat robi to dla wszystkich problemów naraz.
• Gdy problemem jest kolekcja dostępna do odczytu dla każdego, Require sign-in lub Close to your team zamyka ją od razu, bez zmiany w kodzie. Zobacz Kto co widzi.
• Po poprawce problemy są sprawdzane ponownie, a lista pokazuje, które zniknęły, a które nadal są.

„No issues found” oznacza, że skan niczego nie znalazł. Czyta kod pod kątem typowych błędów, więc nie może wykluczyć każdego ryzyka.

Dodaj kontekst

Skaner zna tylko kod. Przycisk Add context, w prawym górnym rogu, mówi mu to, czego kod nie powie: do czego służy aplikacja, kto z niej korzysta, jakie dane przechowuje i co jest zamierzone.

A shop for a bakery. Customers order without an account. We store names,
phone numbers and addresses for delivery. The menu and prices are public on purpose.

Dzięki temu publiczne menu nie jest zgłaszane jako wyciek, a zamówienia z adresami są sprawdzane jak prywatne dane, którymi są.

Biblioteki

React, Supabase i pozostałe biblioteki, na których działa każda aplikacja, są utrzymywane przez Setherion i przy każdym wydaniu sprawdzane pod kątem znanych luk w zabezpieczeniach. Nie musisz niczego aktualizować. Karta pokazuje No known issues i datę ostatniego sprawdzenia.

Zawsze włączone

Część zabezpieczeń nie czeka na skan:

• Klucz tajny wpisany w kod aplikacji nigdy nie zostanie opublikowany. Publikacja jest odrzucana, bezpłatnie, niezależnie od wyniku skanu, a komunikat podaje rodzaj klucza oraz plik i wiersz. Rozpoznaje klucze popularnych usług AI, płatności, e-mail, komunikatorów i hostingu kodu, klucze prywatne oraz klucze administratora projektu Supabase. Klucze publiczne z założenia, takie jak klucz anon Supabase albo klucz publiczny Stripe (publishable), są pomijane.
• Klucze połączonych usług zostają na serwerach Setherion, a opublikowana aplikacja wywołuje je przez Setherion.
• Rekord może czytać tylko osoba, która go zapisała, oraz twój zespół, dopóki nie otworzysz go w sekcji Reguły dostępu.
• Każda budowa i każda zmiana jest otwierana w ukryciu, zanim ją zobaczysz, i odsyłana do naprawy, jeśli się zawiesi. Zobacz Zanim to wyjdzie.
• W planie Business aplikację można ustawić jako prywatną, aby otwierały ją tylko zalogowane osoby z twojej przestrzeni roboczej. Zobacz Widoczność.
• Wiadomości e-mail wysyłane przez aplikację zatrzymują się same, jeśli wiele z nich nie dociera albo jest oznaczanych jako spam. Zobacz E-maile.