La seguridad a nivel de fila está desactivada en el Supabase de tu app de Lovable
Tu app envía una clave pública al navegador de cada visitante. La seguridad a nivel de fila (RLS) es lo que impide que esa clave lea todas las filas de todas las tablas. Sin ella, cualquiera puede hacerlo.
Causas habituales
Tablas creadas sin RLS
Las tablas creadas en el editor SQL o con una migración empiezan con la seguridad a nivel de fila desactivada, salvo que alguien la active.
Políticas que lo permiten todo
Una política escrita como «using (true)» activa RLS y aun así deja pasar a todo el mundo.
La clave service role en el navegador
Esa clave se salta RLS por completo. Si está en el código del front-end, las reglas dan igual.
Qué puedes revisar tú
- En Supabase, abre el Table Editor: las tablas sin RLS aparecen marcadas. El Security Advisor también las muestra.
- Lee cada política: a quién deja leer, insertar, actualizar y borrar.
- Busca la clave service role en el código del front-end; ahí solo debe estar la clave anon.
Qué revisa el análisis gratuito
El análisis busca claves service role y otros secretos en tu código. Cuando conectas GitHub o subes tu código, también revisa qué tablas puede leer la clave pública (contando las filas, nunca leyéndolas) y qué buckets de almacenamiento puede listar cualquiera.
Si prefieres que lo arreglemos nosotros
App Rescue activa la seguridad a nivel de fila con políticas adaptadas a tu app, comprueba con tests que cada usuario ve solo sus propios datos y saca los secretos del navegador. Production Ready va más allá y cubre el resto de la lista de comprobaciones de seguridad.
App Rescue, desde 299 € + IVA para una app pequeña. El análisis calcula el precio exacto de la tuya.