١ من كل ٩ تطبيقات تسرب مفاتيح Supabase: إليك كيف يحدث ذلك

كشف تقرير حديث عن فحص ٢٠ ألف تطبيق أن نسبة هائلة من المطورين يشحنون مفاتيح Supabase السرية داخل كود الواجهة الأمامية عن طريق الخطأ. لا تتعلق المشكلة باختراق أنظمة الخوادم أو المستودعات الخاصة، بل بوجود هذه المفاتيح في ملفات الجافا سكريبت التي يحملها كل زائر للموقع. يوضح المتحدث أن بعض المفاتيح مخصصة لتكون عامة، لكن المشكلة تكمن في آلية العمل التي تسمح بتسريب المفاتيح الخاصة بنفس الطريقة. هذا القسم يشدد على أن هذه التطبيقات لم تتعرض لهجوم خارجي، بل هي ضحية لإهمال داخلي في إدارة الأسرار. يعتبر هذا التنبيه ضرورياً للمطورين لفهم أن السهولة في التطوير قد تؤدي إلى كوارث أمنية إذا لم يتم الانتباه للتفاصيل.

يشرح هذا الجزء كيف تقوم أدوات البناء الحديثة مثل Next.js وVite بالتعامل مع المتغيرات البيئية التي تبدأ بكلمة public. عندما يحدد المطور متغيراً بهذه البادئة، فإن الأداة تعتبره موجهاً للمتصفح وتقوم بإضافته تلقائياً إلى حزمة العميل. يؤكد المتحدث أن مفاتيح "أدوار الخدمة" (Service Role Keys) هي الأخطر، لأنها قادرة على تجاوز سياسات أمن مستوى الصف (RLS) بالكامل. إذا وصل هذا المفتاح للمتصفح، فإن كل الجهود المبذولة في حماية البيانات تصبح بلا قيمة لأن المهاجم يمتلك صلاحيات المسؤول. يوضح هذا السياق أن المسميات مثل Next.public ليست مجرد تصنيفات، بل هي تعليمات شحن مباشرة للجمهور.

يقوم المتحدث بإجراء تجربة حية لبناء تطبيق CRUD بسيط باستخدام Next.js وربطه بقاعدة بيانات لتوضيح مكمن الخلل. أظهر كيف أدى وضع مفتاح سري خلف متغير يبدأ ببادئة عامة إلى ظهوره بوضوح داخل حزمة الجافا سكريبت المجمعة. بعد تشغيل التطبيق، فتح المتحدث أدوات المطور في متصفح كروم وبحث عن المفتاح ليجده متاحاً بالكامل مع رابط قاعدة البيانات. يشدد هذا القسم على أن المهاجمين لا يحتاجون لثغرات معقدة، بل يستخدمون روبوتات وظيفتها البحث عن هذه الأنماط المكشوفة. الرسالة هنا واضحة: إذا كنت تستطيع رؤية المفتاح في أدوات المتصفح، فاعلم أن الإنترنت بالكامل يراه أيضاً.

يقدم المتحدث الحلول العملية لمعالجة هذه الثغرات من خلال التأكيد على ضرورة حصر استدعاءات المفاتيح الخاصة في جهة الخادم فقط. يجب على العميل استدعاء واجهة برمجة (API) أو وظيفة خادم، وهي بدورها تتواصل مع قاعدة البيانات باستخدام المفاتيح المحمية. ينصح المتحدث بإعادة بناء التطبيق وفحص الحزمة المخرجة للتأكد من اختفاء المفاتيح تماماً قبل اعتبار المشكلة محلولة. بالإضافة إلى ذلك، يجب تفعيل أمن مستوى الصف (RLS) واختباره بدقة لضمان أن السياسات تعمل كما هو متوقع. هذا النهج يضمن عدم تكرار المشكلة حتى لو حدث خطأ بشري بسيط في المستقبل.

في القسم الأخير، يتم التركيز على استدامة الأمان من خلال إدراج فحص الأسرار في عمليات CI لمنع البناء في حال وجود تسريبات. يقترح المتحدث وضع قواعد صارمة لمراجعة الكود تعتبر أي متغير يحمل بادئة عامة بمثابة معلومة مكشوفة بالضرورة. كما يشدد على أهمية تدوير المفاتيح فوراً عند أدنى شك في تعرضها للانكشاف بدلاً من الانتظار وتقييم الأضرار. يختتم الفيديو بنصيحة عملية للمطورين لفحص مخرجات تطبيقاتهم الحالية والبحث عن رموز JWT أو أي معرفات سرية. الخلاصة النهائية هي أن أي شيء يصل إلى حزمة بيانات المتصفح هو ملكية عامة للجميع دون استثناء.