Auditoria de segurança para apps feitas com Bolt
Numa app feita com Bolt, o maior risco costuma estar na fronteira entre o que a plataforma configura e o que acrescentas depois. Reviso à mão as regras de acesso à base de dados, as chaves e o login, para confirmar que os dados de cada utilizador só são vistos por quem deve.
O Bolt já não ativa o RLS sozinho?
Sim, nas tabelas que ele próprio cria. A documentação avisa que qualquer tabela que acrescentes precisa de RLS ativado por ti, e que uma tabela sem RLS pode ser lida e alterada por qualquer pessoa.
Ter RLS ativado também não chega. Em sites sem login, o Bolt pode escrever regras que deixam qualquer visitante ver, acrescentar, alterar e apagar dados. O separador de segurança assinala-as com o aviso "RLS Policy Always True". Às vezes é mesmo isso que queres. Noutras, são dados que deviam ser privados.
E a auditoria de segurança do próprio Bolt?
Usa-a. Procura problemas como RLS em falta ou regras demasiado abertas. Mas não conhece as regras do teu negócio. Saber quem deve ver o quê é uma decisão que tem de ser verificada com utilizadores reais, e é isso que faço.
O que verifico
- RLS em todas as tabelas, incluindo as que acrescentaste à mão
- Regras "sempre verdadeiras" em dados que deviam ser privados
- Chave de serviço (service role) fora do código que corre no browser
- Variáveis de ambiente e quem lhes tem acesso no projeto
- Login e separação de dados entre utilizadores
- Regras de armazenamento de ficheiros
Perguntas frequentes
A minha app não tem login. Preciso de auditoria?
Depende dos dados. Se guardas encomendas, mensagens ou contactos, esses dados precisam de proteção, e a documentação do Bolt recomenda acrescentar login nesse caso. Se tudo for mesmo público, o risco é menor e digo-te isso antes de cobrar.
Revês apps do Bolt com Supabase e com o Bolt Cloud?
Sim. As duas opções usam regras RLS, e verifico-as da mesma forma.
Queres que eu reveja a tua app?
Envia-me o repositório. Respondo em 1 dia útil com o âmbito e o preço fechado. A auditoria demora de 3 a 5 dias úteis depois de aceitares o âmbito.
Guias relacionados
Fontes oficiais
A AIlocal é um serviço independente e não tem qualquer afiliação com Bolt. Os nomes pertencem aos respetivos donos.