Auditoria de segurança para apps feitos com Bolt
Em um app feito com Bolt, o maior risco costuma estar na fronteira entre o que a plataforma configura e o que você acrescenta depois. Reviso manualmente as regras de acesso ao banco de dados, as chaves e o login, para confirmar que os dados de cada usuário só são vistos por quem deve.
O Bolt já não ativa o RLS sozinho?
Sim, nas tabelas que ele mesmo cria. A documentação avisa que qualquer tabela que você acrescentar precisa ter o RLS ativado por você, e que uma tabela sem RLS pode ser lida e alterada por qualquer pessoa.
Ter RLS ativado também não basta. Em sites sem login, o Bolt pode escrever regras que deixam qualquer visitante ver, adicionar, alterar e apagar dados. A aba de segurança sinaliza essas regras com o aviso "RLS Policy Always True". Às vezes é exatamente o que você quer. Em outras, são dados que deveriam ser privados.
E a auditoria de segurança do próprio Bolt?
Use. Ela procura problemas como RLS ausente ou regras abertas demais. Mas não conhece as regras do seu negócio. Saber quem deve ver o quê é uma decisão que precisa ser verificada com usuários reais, e é isso que faço.
O que verifico
- RLS em todas as tabelas, incluindo as que você acrescentou manualmente
- Regras "sempre verdadeiras" em dados que deveriam ser privados
- Chave de serviço (service role) fora do código que roda no navegador
- Variáveis de ambiente e quem tem acesso a elas no projeto
- Login e separação de dados entre usuários
- Regras de armazenamento de arquivos
Perguntas frequentes
Meu app não tem login. Preciso de auditoria?
Depende dos dados. Se você guarda pedidos, mensagens ou contatos, esses dados precisam de proteção, e a documentação do Bolt recomenda adicionar login nesse caso. Se tudo for mesmo público, o risco é menor e aviso antes de cobrar.
Você revisa apps do Bolt com Supabase e com o Bolt Cloud?
Sim. As duas opções usam regras RLS, e verifico da mesma forma.
Quer que eu revise o seu app?
Envie o repositório. Respondo em 1 dia útil com o escopo e o preço fechado. A auditoria leva de 3 a 5 dias úteis depois que você aceita o escopo.
Guias relacionados
Fontes oficiais
A AIlocal é um serviço independente e não tem nenhuma afiliação com Bolt. Os nomes pertencem aos respectivos donos.