Signed URLs

Qué significa “Signed URLs” (explicación simple)

Signed URLs . Builders use this concept to reduce accidental exposure and keep sensitive operations behind clear authorization boundaries.

En resumen: si alguien puede acceder al recurso directamente (sin pasar por tu backend), el control real está en la base/Storage/RPC — no en tu UI.

Explicación técnica: cómo funciona Signed URLs en Supabase

Las URLs firmadas (signed URLs) permiten acceso temporal a archivos privados. Funcionan bien cuando el bucket es privado y cuando se generan en el servidor después de autorizar al usuario. El error típico es tratarlas como “enlaces privados permanentes”: TTL largo, compartirlas, guardarlas o registrarlas. También importa el caching: una URL firmada filtrada puede convertirse en un enlace público práctico durante su ventana de validez.

Rutas de ataque y fallos comunes (Signed URLs)

• Generación de signed URLs en el cliente o sin autorización.
• TTL excesivo: una filtración tiene ventana larga.
• Bucket público: signed URLs dejan de ser control real.
• URLs guardadas en logs o compartidas en tickets/chat.
• Cachés/CDN que extienden el impacto de un enlace filtrado.

Dónde mirar en tu proyecto (Supabase)

• Dónde se generan las signed URLs (debe ser backend).
• TTL configurado y si se regeneran por petición.
• Privacidad del bucket y permisos de listing.
• Logs/analytics que podrían capturar URLs completas.

Cómo suele fallar Signed URLs en Supabase

Estos son patrones que aparecen una y otra vez en proyectos reales:

• Issuing signed URLs directly from client code without server-side checks.
• Giving links infinite TTL or skipping ownership validation.
• Not rate-limiting signing requests so brute-force attacks succeed.

Cómo detectar problemas de Signed URLs

El objetivo es comprobar el comportamiento real, no lo que “parece” en la UI.

• Comprueba si alguien puede acceder a archivos sin pasar por backend.
• Revisa TTL de URLs firmadas y si se reutilizan entre usuarios.
• Busca URLs firmadas en logs o bases de datos.
• Confirma que buckets sensibles son privados.
• Valida expiración: una URL vieja debería dejar de funcionar.

Cómo corregir Signed URLs (enfoque backend-only)

1. Haz el bucket privado y deshabilita listing donde aplique.
2. Genera signed URLs solo en backend tras checks de autorización.
3. Usa TTL corto y regenera por solicitud (no persistir URLs).
4. Redacta URLs en logs y evita enviarlas a herramientas de terceros sin control.
5. Verifica con pruebas: sin URL firmada no hay acceso.
6. Monitoriza descargas anómalas.

Checklist de verificación (después de corregir)

1. Acceso directo falla sin signed URL.
2. URLs expiran y no se reutilizan indebidamente.
3. Bucket privado y sin listing para contenido sensible.
4. Flujo funciona vía backend para usuarios autorizados.
5. Checklist en releases evita regresiones.

Prevención de drift (para que no vuelva)

• Política: nunca guardar signed URLs; guardar object keys y generar on-demand.
• TTL estándar corto y revisión cuando cambia.
• Auditar buckets periódicamente y antes de lanzamientos.

Ejemplos y por qué funcionan

Estos ejemplos muestran escenarios concretos, causa raíz y corrección:

• Signed URL invoice download → /examples/signed-urls/signed-url-invoice-download — Signed URLs keep invoices private while letting authorized users download them.
• Signed URL abuse + rate limiting → /examples/signed-urls/signed-url-abuse-rate-limiting — An attacker spamming the signed URL endpoint kept enumerating files.

Úsalos para reconocer el patrón en tu propio esquema y repetir la verificación.

Enlaces relacionados (English canonical + templates)

• English canonical: Signed URLs → /glossary/signed-urls

Preguntas rápidas (auto‑evaluación)

Si respondes “sí” a cualquiera de estas preguntas, vale la pena priorizar este fix:

• ¿Puedo acceder al recurso con una llamada directa (sin pasar por mi backend)?
• ¿El control de acceso depende de la UI (botones/ocultar pantallas) en lugar de la base/Storage?
• ¿No tengo una verificación repetible que pueda ejecutar tras migraciones?
• ¿Hay diferencias entre dev/staging/prod que podrían reintroducir exposición (drift)?
• ¿Estoy usando políticas/grants amplios por “comodidad” y sin documentación?

El objetivo no es “hacerlo perfecto”; es reducir exposición con un cambio pequeño, verificable y repetible.

Notas culturales/idioma

Esta página está optimizada para consultas en বাংলা. Si necesitas máxima precisión técnica, usa también la página en inglés (canonical).

Resumen rápido (para llevar)

• Valida siempre con acceso directo: los atacantes no usan tu UI.
• Prefiere backend-only para recursos sensibles y usa verificación repetible.
• Después de cada migración, re-ejecuta checks para evitar drift.
• Mantén secretos server-only y revisa grants/políticas/buckets/EXECUTE con disciplina.

Plantilla de “enunciado de límite” (para documentar el fix)

Este enunciado te ayuda a dejar claro el modelo de acceso y a detectar regresiones:

• Solo el backend puede (operación) sobre (recurso) tras autorización explícita.
• El cliente no debe poder acceder directamente a (tabla/bucket/función) con credenciales anon/auth.
• Verificación: la llamada directa (describe la petición) debe fallar en dev/staging/prod.

Guardar este enunciado junto con la evidencia (antes/después) hace que revisiones y migraciones sean más seguras.

Mini ejemplo de verificación (sin SQL)

Si quieres una verificación rápida sin meterte en SQL, usa este enfoque:

1. Antes del fix, intenta una llamada directa desde el cliente (REST/RPC/Storage) y guarda el resultado.
2. Aplica el cambio (backend-only + revocar accesos amplios) y repite la misma llamada directa.
3. Confirma que ahora falla con una denegación clara, y que el backend autorizado sigue funcionando.
4. Repite en staging/prod para evitar el clásico “funciona en dev”.

Si estas cuatro líneas se cumplen, tu corrección es real y resistente a regresiones.

Plan operativo de 7 días (aplícalo sin bloquear producto)

Este plan está pensado para equipos pequeños que necesitan mejorar seguridad sin frenar entregas. La idea es hacer un cambio corto, verificable y repetible cada día, con foco en evidencia y no en teoría.

1. Día 1: identifica el recurso más sensible relacionado con este término y reproduce el riesgo con una llamada directa.
2. Día 2: crea o ajusta la ruta backend-only y documenta la regla de autorización en una frase.
3. Día 3: revoca el acceso directo amplio desde cliente (grants, bucket público o EXECUTE público, según aplique).
4. Día 4: ejecuta verificación en dev y staging con la misma prueba directa; debe fallar de forma consistente.
5. Día 5: repite en producción y guarda evidencia mínima (qué cambió, prueba usada, resultado esperado).
6. Día 6: añade guardrail post-migración (scan o checklist) para evitar drift silencioso.
7. Día 7: revisa una ruta relacionada (tabla, Storage o RPC) y repite el ciclo con menor fricción.

Si mantienes este ritmo semanal, reduces exposición real sin depender de “arreglos heroicos” de último minuto.

Siguiente paso

Si sospechas exposición en tu proyecto, ejecuta un escaneo y valida el acceso directo. Después aplica un template y verifica que el acceso desde el cliente ya no funcione.