Firebase jest wygodny, bo łączy twoją aplikację z bazą danych bez backendu, ale ta wygoda to też pułapka: bezpieczeństwo zależy niemal całkowicie od reguł, które napiszesz. Oto błędy, które pojawiają się najczęściej.
Zostawienie reguł w trybie testowym
Gdy tworzysz Firestore albo Realtime Database, Firebase oferuje tryb testowy, który przez jakiś czas pozwala każdemu czytać i zapisywać. Wygodny na start, ale wiele osób publikuje z tymi regułami wciąż aktywnymi. Efekt: każdy może odczytać i zmodyfikować całą twoją bazę z konsoli przeglądarki.
Przed uruchomieniem zmień reguły tak, żeby wymagały uwierzytelnienia i ograniczały każdego użytkownika do jego własnych danych.
Mylenie klucza publicznego z bezpieczeństwem
Konfiguracja Firebase, którą wklejasz we frontendzie (apiKey, projectId itd.), jest publiczna z założenia i nie jest sekretem. To dezorientuje wiele osób: zakładają, że skoro żyje w kliencie, Google ją chroni. Tak nie jest. To, co chroni twoje dane, to reguły bezpieczeństwa, a nie ukrywanie tego klucza. Zakładanie inaczej prowadzi do otwartych baz danych.
Reguły pozwalające czytać wszystko
Reguła w rodzaju allow read: if true zostawia twoje kolekcje otwarte dla każdego. Klasyczny błąd to luzowanie reguł, aż aplikacja przestanie zwracać błędy, i nigdy ich ponowne zaciśnięcie. Pisz reguły per kolekcja: sprawdzaj request.auth i porównuj użytkownika z właścicielem dokumentu.
Wrażliwe dane w czytelnych dokumentach
Nawet jeśli wymagasz logowania, przejrzyj, co przechowujesz. E-maile, role administratora albo wewnętrzne flagi w dokumentach, które może odczytać każdy uwierzytelniony użytkownik, wciąż są wyciekiem. Oddziel prywatne dane do kolekcji z surowszymi regułami i nie zakładaj, że nikt nie zajrzy.
Inne klucze ukryte w bundle
Config Firebase jest publiczny, ale zwykle podróżuje z innymi kluczami, które nie są: tokenami usług płatności, poczty czy AI. Te są tajne i nie mogą wylądować w JavaScripcie przeglądarki. AI czasem osadza je, żeby coś zadziałało od razu.
Scanaris wykrywa to, co zostało odsłonięte
Scanaris wykonuje kontrole tylko do odczytu na twojej opublikowanej stronie: szuka kluczy i sekretów odsłoniętych we frontendzie, osiągalnych wrażliwych plików i słabych ustawień nagłówków. Niczego nie wykorzystuje; patrzy tylko na to, co już jest publiczne, i ostrzega cię. Każde znalezisko przychodzi z promptem, żeby naprawić to w twojej AI. Przeskanuj swoją aplikację, zanim zrobi to ktoś inny.