Checklist de segurança para Supabase e RLS

Row Level Security não é apenas uma configuração marcada no painel. Cada tabela exposta pela API precisa de políticas coerentes com os perfis do produto. O teste mais importante é tentar acessar o dado de outro usuário, não apenas confirmar que o próprio usuário consegue ver o seu.

A chave pública foi criada para uso no cliente quando RLS protege os dados. A service role ignora essas políticas e nunca deve ser entregue ao navegador. Se ela apareceu no bundle, no histórico do Git ou em um print público, trate como segredo comprometido e faça rotação.

Saber quem está conectado não prova que essa pessoa pode executar qualquer operação. Verifique propriedade do recurso, papéis administrativos e mudanças de estado também no banco ou no servidor, não apenas escondendo botões na interface.

Buckets, Edge Functions e webhooks podem abrir caminhos que as políticas das tabelas não cobrem. Valide tipo e tamanho de arquivos, autentique chamadas e registre operações sensíveis.