Supabase: ora puoi limitare cosa può fare una chiave di accesso

Supabase permette di creare chiavi di accesso che funzionano solo su un progetto e con i permessi minimi necessari, invece di dare accesso a tutto l'account: utile per chi usa un agente AI per programmare.

Perché conta

Molte persone che costruiscono con l'aiuto dell'AI usano Supabase senza avere un background tecnico in sicurezza: una chiave con accesso limitato è una delle protezioni più semplici ed efficaci contro un errore proprio o di un agente AI collegato al progetto.

In pratica

Se hai un progetto su Supabase collegato a uno script, un agente di coding o un'automazione, vai in supabase.com/dashboard/account/tokens e controlla se le tue chiavi sono ancora ad accesso completo ("legacy"): se puoi, sostituiscile con una nuova chiave limitata al singolo progetto e ai permessi che usi davvero.

Supabase è il database e il backend che molti usano per costruire siti e app con l'aiuto di un assistente AI come Claude o ChatGPT, senza dover gestire un server da zero: tiene i dati, gestisce gli accessi degli utenti e offre le funzioni che normalmente richiederebbero un programmatore esperto. Chi lo usa, spesso, crea un "token di accesso personale" (una specie di chiave digitale) per collegare uno script, un agente di coding o uno strumento esterno al proprio progetto.

Fino a poco tempo fa, quella chiave dava accesso a tutto l'account: a qualsiasi progetto e a qualsiasi funzione, esattamente come se fosse la persona che l'ha creata. Supabase ha introdotto la possibilità di limitare ogni nuova chiave a un singolo progetto (o a un'organizzazione) e solo ai permessi che servono davvero, per esempio la sola lettura del database, senza poter cancellare nulla.

Perché conviene usarla

Uno script di automazione, un agente AI che scrive codice per te o un collegamento esterno hanno bisogno di compiti diversi, non di poter fare tutto quello che puoi fare tu. Se una di queste chiavi finisce nelle mani sbagliate o viene usata per errore, il danno resta limitato al progetto e ai permessi che le hai dato, invece di estendersi a ogni cosa che hai costruito su Supabase. Puoi anche impostare una data di scadenza, fino a un anno: passata quella data, la chiave smette di funzionare da sola.

Per crearne una, si va nella Dashboard di Supabase, alla pagina dei token di accesso: si scelgono le risorse (meglio un singolo progetto che un'intera organizzazione), si parte dal livello "nessun accesso" e si attiva solo quello che serve, si imposta una scadenza e si controlla il livello di rischio che il sito stesso segnala (basso, medio o alto) prima di copiare la chiave, che viene mostrata una sola volta.

Cosa resta uguale

Le chiavi create prima di questo cambiamento continuano a funzionare come prima, con accesso completo, e restano segnalate nella Dashboard come "legacy": vale la pena andare a controllarle e, se non servono più ad avere pieno accesso, sostituirle con una nuova chiave più limitata. Una volta creata una chiave con un certo ambito, quell'ambito non si può più modificare: per cambiarlo serve crearne una nuova.