Un pulsante nascosto non impedisce necessariamente di eseguire l’operazione corrispondente. Controlliamo cosa possono fare davvero utenti e amministratori, seguendo le richieste fino al codice che legge o modifica i dati.
Verifichiamo i permessi
Partiamo dalle regole del prodotto: chi può vedere una risorsa, modificarla o eliminarla. Proviamo account e ruoli diversi, compresi gli accessi a dati di altre organizzazioni. Controlliamo che i permessi vengano verificati anche nelle API.
- Sessioni, ruoli e funzioni amministrative
- Isolamento tra utenti e organizzazioni
- API, upload, esportazioni e operazioni sensibili
Esaminiamo credenziali e integrazioni
Controlliamo dove sono usate le credenziali, i permessi del database e le chiamate ai servizi esterni. Per i pagamenti verifichiamo come vengono riconosciuti gli eventi e aggiornati abbonamenti o acquisti.
- Separazione tra configurazione pubblica e secret
- Accessi al database e policy Supabase quando presenti
- Validazione degli input, webhook e gestione degli errori
Ti spieghiamo cosa abbiamo trovato
Descriviamo ogni problema e il suo possibile effetto sul prodotto, distinguendo i casi verificati da quelli che richiedono altre prove. I riferimenti OWASP possono guidare i controlli; la review non costituisce una certificazione di sicurezza.
Correggiamo e ripetiamo le prove
Se concordiamo il fixing, applichiamo le modifiche e proviamo sia le operazioni da bloccare sia quelle che devono continuare a funzionare. Quando una correzione cambia le regole del prodotto, decidiamo prima insieme il comportamento desiderato.
Aggiornato il