Кейси · Перевірка застосунку
Перевірка підписки й приватності в застосунку на Supabase і Stripe
Справжній публічний продукт, не зразок. Усе спершу пішло власникам приватно, і поки знахідки відкриті, сторінка не називає ні застосунок, ні жодної окремої знахідки.
Жовтень 2026: надіслано власникам. Патчі запропоновано, ще не застосовано.
Про кейс
Що перевірено
Публічний вебзастосунок на Supabase з платною підпискою Stripe. Перевірка охопила підписку від оформлення до продовження й скасування; дані акаунта й приватність; тарифи й ліміти; хто що може читати й змінювати в базі й серверних функціях; і те, що обіцяють тексти про приватність.
У чому складність
Підписка має сходитися у двох місцях, у Stripe і в застосунку. Частина поведінки також залежить від налаштувань хостингу власників, яких не видно при перевірці за публічним кодом, тож треба було відділити те, що точно, від того, що залежить від їхньої відповіді.
Як перевірено
Більшість знахідок відтворено на коді власників, а звіт позначає ті, що повністю або частково спираються лише на код. Кожну знахідку з патчем перевірено знову з ним, крім чотирьох малих змін. Вісім знахідок, зокрема обидві високі, підтверджено в тестовому режимі Stripe. Де знахідка залежить від налаштувань власників, звіт так і каже й запитує.
Результат
39 знахідок: 2 високі, 11 середніх, 26 низьких. 27 запропонованих патчів охоплюють 26 із них, одну частково, а тести самих власників проходять і з патчами. Решта 13 поки без патча, бо більшість потребує вибору власників; звіт дає підхід до кожної. Чотири знахідки залежать від налаштувань хостингу й можуть бути зняті після відповіді власників. Власникам повідомлено приватно у жовтні 2026 року. Якщо власники погодяться, коли виправлення вийдуть, сторінка назве проєкт і опише виправлені знахідки.
Знахідки за сферами
| Сфера | Високі | Середні | Низькі | Разом |
|---|---|---|---|---|
| Підписка й оплати | 2 | 2 | 4 | 8 |
| Тарифи й ліміти | — | 6 | 7 | 13 |
| Приватність і дані акаунта | — | 2 | 9 | 11 |
| Хто що може читати й змінювати | — | 1 | 6 | 7 |
| Разом | 2 | 11 | 26 | 39 |
Серйозність визначається наслідками та їхньою ймовірністю. «Варто виправити» тут означає критичні, високі або середні: у відшліфованому застосунку зі справжніми користувачами середня знахідка теж може до них дійти.
Які це дефекти
Більшість знахідок належить до кількох шаблонів, поширених у таких застосунках:
- Стан підписки, що розходиться зі Stripe
- Ліміти тарифів, яких дотримано не всюди
- Обіцянки про приватність, які застосунок не виконує
- Ненадійне очищення
- Прогалини в тому, хто що може змінювати
Що отримали власники
- Звіт із кожною знахідкою: що сталося, як це підтверджено, що робить патч і що лишається відкритим.
- 27 патчів малими комітами на їхньому поточному коді, згрупованими в блоки, тож можна зупинитися після будь-якого блоку.
- 9 запитань про те, що можуть вирішити чи побачити лише власники: їхні налаштування, хостинг, продуктові рішення.
- Підхід до 13 знахідок без патча: що виправить кожну і що потрібно від власників.
- Чого перевірка не бачила: їхнього живого сервісу, налаштувань панелі й будь-яких змін поза репозиторієм.
Не замовлення: застосунок перевірено з власної ініціативи за його публічним кодом, без перевірок на живому сайті.
Як виглядає знахідка
Знахідки цього застосунку лишаються приватними, поки вони відкриті. Це той самий формат зі звіту про демонстраційний магазин.
Відкрити зразок звіту (PDF, англійською)Будь-який акаунт після входу може відкрити замовлення будь-якого гостя за номером
- ЯК ЗДАНО
- Сторінка замовлення відкривається: ім'я, вулиця, місто, пошта, телефон, що куплено.
- ПІСЛЯ ВИПРАВЛЕННЯ
- "We couldn't open this order."ВИПРАВЛЕНО
- ТЕСТ
- Чужий акаунт запитує замовлення гостя. До виправлення тест падав, після проходить.
Послуга
Така сама перевірка для вашого застосунку
Ви надсилаєте код або запрошуєте мене з доступом лише на читання, а не паролі. Кожна знахідка — з тим, що сталося, що мало статися і де це в коді.