Заметки по Supabase-аудиту

Дата прохода: 2026-07-02.

Связь с текущим сайтом

В репозитории deputat36/broker не найдено явной интеграции Supabase:

• нет supabase-js;
• нет SUPABASE_URL;
• нет createClient;
• нет явных ключей проекта.

Текущий сайт остается статическим Jekyll-сайтом на GitHub Pages.

Найденный Supabase-проект

В аккаунте найден один активный проект:

• ID: ofewxuqfjhamgerwzull;
• регион: eu-west-1;
• статус: ACTIVE_HEALTHY;
• PostgreSQL: 17.

По названиям Edge Functions проект, вероятно, используется несколькими другими системами, а не только этим сайтом.

Edge Functions

В проекте найдены активные функции:

• leader-public-lead;
• leader-crm-leads;
• leader-crm-orders;
• nav-invite-user;
• nav-v2-deal-api;
• parket-public-lead.

Для сайта ипотечного брокера прямой функции пока нет.

Security advisor

Supabase security-advisor вернул предупреждения по SECURITY DEFINER функциям, доступным роли authenticated.

Основные группы:

• функции nav_*;
• функции nav_v2_*;
• предупреждение по отключенной защите от скомпрометированных паролей.

Эти предупреждения не исправлялись в рамках текущего прохода, потому что проект может обслуживать другие рабочие системы.

Performance advisor

Performance advisor не выполнился: Supabase вернул ошибку SQL-синтаксиса внутри проверки.

Рекомендации

1. Не подключать этот Supabase-проект к сайту ипотечного брокера без отдельного решения.
2. Если для сайта понадобится форма заявки, лучше создать отдельную таблицу и отдельную Edge Function с понятным именем, например broker-public-lead.
3. Перед любыми изменениями в Supabase определить, какие проекты сейчас используют найденные функции.
4. Не менять существующие функции leader, nav и parket из этого проекта без отдельного аудита.
5. Для будущей формы сайта заранее продумать поля, хранение согласия на обработку персональных данных и защиту от спама.