מפתח service_role חשוף - מה זה ואיך מתקנים

מפתח ה-service_role של Supabase עוקף את כל ההרשאות, כולל RLS. כשהוא מגיע לקוד שהדפדפן מוריד - הוא של כל מי שפותח DevTools.

למה זה מסוכן

זו הפרצה החמורה ביותר שאנחנו מוצאים: קריאה, שינוי ומחיקה של כל נתון במסד, בלי שום מנגנון הגנה בדרך.

איך מתקנים

• סובב את המפתח מיד ב-Supabase (Settings > API > Reset service_role key) - הוא כבר נחשף
• הסר כל שימוש בו מקוד ה-client
• פעולות שדורשות אותו - העבר ל-Edge Function או לשרת, וקרא אותו שם ממשתנה סביבה

איך מוודאים שהתיקון עבד

סריקה חוזרת סורקת את ה-JavaScript המוגש ומוודאת שהמפתח החדש לא מופיע בו.

מדריכים לפי הכלי שבנה את האפליקציה

• מפתח service_role חשוף באפליקציית Lovable
• מפתח service_role חשוף באפליקציית Bolt
• מפתח service_role חשוף באפליקציית Cursor
• מפתח service_role חשוף באפליקציית v0
• מפתח service_role חשוף באפליקציית Replit
• מפתח service_role חשוף באפליקציית Windsurf

בדיקה חינם

רוצה לדעת אם האפליקציה שלך חשופה? סרוק בחינם ב-30 שניות וקבל ציון אבטחה + הוראות תיקון.