A maioria das PMEs que desenvolve aplicações web com Supabase assume que os dados estão protegidos por definição. A realidade é bem diferente: 83% das exposições de dados nesta plataforma resultam de configurações erradas das políticas de segurança ao nível da linha (Row Level Security). Um novo utilitário de linha de comandos, gratuito e open-source, permite agora auditar segurança Supabase em minutos, detectando os erros mais comuns antes que se transformem numa fuga de informação.
Chama-se RLS Auditor e foi criado por um programador que se assustou com o caso CVE-2025-48757 — mais de 170 aplicações criadas com “vibe coding” expunham dados precisamente por falhas de RLS. A ferramenta liga-se à base de dados em modo só de leitura, nunca envia informação para fora e corre localmente. Para um director de PME, isto traduz-se numa verificação rápida e sem custos que pode evitar multas, perda de reputação e dores de cabeça com o RGPD.
O que é o RLS Auditor e como funciona
O Supabase é uma plataforma que junta base de dados PostgreSQL com autenticação e APIs automáticas. A segurança dos dados depende de políticas RLS: regras que definem quem pode ver, inserir ou alterar cada linha de uma tabela. Quando estas políticas estão mal configuradas — ou simplesmente desligadas — qualquer pessoa com o endereço da API pode aceder a informação privada.
O RLS Auditor é um pequeno programa que se executa no terminal. Basta indicar-lhe a ligação à base de dados e ele analisa todas as tabelas, procurando os quatro erros mais fatais: RLS completamente desligado, políticas que permitem acesso anónimo total (USING (true)), permissões de escrita para utilizadores não autenticados e o clássico “a inserção funciona mas a consulta falha” — armadilha que leva muitos programadores a abrir políticas em demasia só para ver a aplicação a funcionar.
Pense num inspector de segurança que percorre um edifício a verificar se todas as portas estão fechadas. O RLS Auditor faz o mesmo, mas às portas lógicas da sua base de dados. E como é só de leitura, não altera nada — apenas produz um relatório com os problemas encontrados.
O que diferencia esta ferramenta das alternativas
Até agora, a opção para verificar políticas RLS era manual: um programador experiente revia tabela a tabela, política a política. Esse processo é lento, sujeito a falhas humanas e exige conhecimento técnico que muitas PMEs não têm internamente. Existem serviços comerciais de auditoria de segurança, mas implicam custos, partilha de acessos e dependência de terceiros.
O RLS Auditor resolve três limitações de uma só vez. Primeiro, é gratuito — não há desculpa orçamental para não o usar. Segundo, corre localmente, sem enviar dados para servidores externos, o que é crítico para empresas que lidam com informação de clientes ou dados sensíveis ao abrigo do RGPD. Terceiro, está focado exclusivamente nos erros de RLS que mais causam fugas, em vez de apresentar centenas de alertas genéricos que ninguém lê.
Outra vantagem prática: pode ser integrado num fluxo de integração contínua. Sempre que um programador altera a estrutura da base de dados, a ferramenta corre automaticamente e bloqueia a actualização se detectar uma regressão de segurança. Isto transforma a auditoria de um evento pontual num hábito automático — exactamente o que falta na maioria das equipas pequenas.
O que isto significa para PMEs portuguesas
Para uma PME portuguesa que usa Supabase como backend da sua aplicação web, loja online ou portal de clientes, esta ferramenta reduz um risco real e mensurável. Se 83% das exposições vêm de configurações RLS, uma verificação de cinco minutos pode eliminar a grande maioria das vulnerabilidades. O custo é zero. O tempo investido é mínimo. O benefício é evitar uma fuga de dados que, sob o RGPD, pode resultar em coimas até 20 milhões de euros ou 4% do volume de negócios anual.
Além disso, a ferramenta não exige um especialista em cibersegurança. Qualquer pessoa com conhecimentos básicos de linha de comandos consegue executá-la. Para empresas que já trabalham com a consultoria estratégica da Descomplicar, esta pode ser mais uma peça no puzzle da maturidade digital — uma verificação simples que se adiciona aos processos de desenvolvimento sem pesar no orçamento. E como é open-source, pode ser adaptada às regras específicas de cada negócio, algo que as ferramentas proprietárias raramente permitem.
Num mercado onde a confiança do cliente é um activo cada vez mais valioso, demonstrar que leva a segurança a sério — com medidas concretas e auditáveis — é também uma vantagem competitiva. O guia de cibersegurança para negócios digitais explica como pequenas acções como esta constroem uma postura de segurança robusta sem necessidade de grandes investimentos.
O erro que a maioria comete
A maioria das empresas assume que a plataforma trata da segurança. “Se o Supabase é um serviço gerido, as políticas de acesso devem estar correctas por defeito.” Não estão. O Supabase fornece as ferramentas, mas a responsabilidade de as configurar é de quem desenvolve. O erro clássico é desligar o RLS durante o desenvolvimento para acelerar o trabalho e esquecer-se de o voltar a ligar em produção. Ou pior: criar políticas demasiado permissivas só para a aplicação “funcionar” e nunca mais as rever. O resultado são bases de dados abertas a qualquer pessoa que descubra o URL da API — e isso acontece mais vezes do que imagina.
Riscos e limitações
O RLS Auditor é uma ferramenta de diagnóstico, não de correcção. Depois de identificar os problemas, é preciso alguém com conhecimentos de PostgreSQL e das regras de negócio para os resolver. Não substitui uma auditoria de segurança completa, que deve incluir outros vectores como autenticação, permissões ao nível do servidor e vulnerabilidades da própria aplicação. Além disso, a ferramenta corre na linha de comandos — não tem interface gráfica —, o que pode ser uma barreira para equipas sem qualquer familiaridade com terminais. Por enquanto, também não cobre cenários mais complexos, como políticas que envolvem várias tabelas ou funções personalizadas. É um primeiro passo, não a solução definitiva.
Veredito Descomplicar®
Vale a pena explorar se a sua empresa usa Supabase e quer dormir descansada quanto à configuração básica de segurança. É gratuito, rápido e foca-se no que realmente causa fugas. Não resolve tudo, mas elimina a causa de 83% dos problemas — um excelente retorno para cinco minutos de trabalho. Se não tem ninguém na equipa que se sinta confortável com a linha de comandos, talvez seja o momento de investir numa consultoria estratégica que inclua estas verificações nos seus processos. A ferramenta está disponível no GitHub e a comunidade agradece feedback — mais um sinal de que a segurança pode ser colaborativa e acessível, mesmo para as PMEs portuguesas.
Fonte: N8N Community – RLS Auditor