Firebase è comodo perché collega la tua app a un database senza backend, ma quella comodità è anche la trappola: la sicurezza dipende quasi interamente dalle regole che scrivi. Questi sono gli errori che compaiono di più.
Lasciare le regole in modalità test
Quando crei Firestore o il Realtime Database, Firebase offre una modalità test che permette a chiunque di leggere e scrivere per un po'. È comoda per iniziare, ma molti lanciano con quelle regole ancora attive. Il risultato: chiunque può leggere e modificare tutto il tuo database dalla console del browser.
Prima di lanciare, cambia le regole per richiedere l'autenticazione e limitare ogni utente ai propri dati.
Confondere la chiave pubblica con la sicurezza
La configurazione di Firebase che incolli nel frontend (apiKey, projectId, ecc.) è pubblica per design e non è un segreto. Questo confonde molti: danno per scontato che, siccome vive nel client, Google la protegga. Non è così. Ciò che protegge i tuoi dati sono le regole di sicurezza, non nascondere quella chiave. Dare per scontato il contrario porta a database aperti.
Regole che permettono di leggere tutto
Una regola come allow read: if true lascia le tue collezioni aperte a chiunque. L'errore classico è allentare le regole finché l'app smette di dare errori e non stringerle mai più. Scrivi regole per collezione: controlla request.auth e confronta l'utente con il proprietario del documento.
Dati sensibili in documenti leggibili
Anche se richiedi il login, rivedi cosa memorizzi. Email, ruoli di amministratore o flag interni in documenti che qualsiasi utente autenticato può leggere restano una fuga. Separa il privato in collezioni con regole più severe e non dare per scontato che nessuno guarderà.
Altre chiavi nascoste nel bundle
La config di Firebase è pubblica, ma di solito viaggia con altre chiavi che non lo sono: token per servizi di pagamento, email o IA. Quelle sì sono segrete e non devono finire nel JavaScript del browser. L'IA a volte le incorpora per far funzionare qualcosa al momento.
Scanaris individua ciò che è rimasto esposto
Scanaris esegue controlli di sola lettura sul tuo sito pubblicato: cerca chiavi e segreti esposti nel frontend, file sensibili raggiungibili e impostazioni deboli degli header. Non sfrutta nulla; guarda solo ciò che è già pubblico e ti avvisa. Ogni risultato arriva con un prompt per sistemarlo nella tua IA. Scansiona la tua app prima che lo faccia qualcun altro.