Às vezes, o vazamento não precisa de um hacker: basta uma porta deixada aberta. A TechCrunch relatou que alguns clientes da Supabase estavam expondo grandes volumes de dados de pessoas na web, um alerta operacional para equipes que prototipam produtos de IA com pressa.
O fato
O ponto central é separar clientes, plataforma e configuração. A reportagem não diz que todos os clientes ou que a plataforma inteira estejam expostos. Ela descreve casos em que regras de acesso permitiram que dados privados ficassem acessíveis publicamente, mostrando como uma decisão local pode produzir uma consequência pública.
O que muda na prática
Autenticação responde quem é o usuário; autorização decide o que ele pode ler. Confundir as duas deixa uma base aparentemente protegida, mas aberta a consultas indevidas. Dados acessíveis por URL podem ser replicados por sistemas automatizados. Em aplicações com IA, esse material ainda pode reaparecer em buscas, resumos ou fluxos de treinamento não previstos.
Pra quem muda
Times de produto precisam revisar políticas de acesso antes de colocar dados reais em produção. O checklist mínimo inclui testar como visitante, verificar regras registro a registro, monitorar consultas anômalas e definir quem recebe alertas. Velocidade de prototipagem é útil para aprender, mas não substitui governança quando o protótipo passa a guardar pessoas reais.
A ressalva honesta
Sem detalhes completos sobre cada caso, não é possível afirmar se os dados estavam indexados ou apenas acessíveis por URL, nem atribuir uma causa única. A lição é mais modesta e mais útil: revisar defaults, documentar autorização e testar exposição externa antes do lançamento reduz um risco antigo que stacks novas podem tornar muito mais rápido.
O próximo teste
Um teste simples começa fora da rede confiável: abrir a aplicação como visitante, consultar registros fictícios e verificar o que aparece. Depois, a equipe deve repetir o procedimento com papéis diferentes, registrar o resultado e corrigir regras antes de conectar dados reais.
A pergunta prática é "quem pode ler este registro agora?". Se a resposta depender de suposições, a configuração ainda não está pronta para produção.
Continue no loop
