🛡️ Database Sentinel

Una skill di Claude che esegue audit di sicurezza sui tuoi database.

Inseriscila in Claude Code, Cursor o qualsiasi ambiente basato su Claude. Dì "esegui audit del mio database" e ottieni un report di sicurezza completo con il codice di correzione esatto — in minuti, non giorni.

Oltre 170 app Lovable sono state violate. Sono stati esposti 20,1 milioni di righe tra le startup Y Combinator. Circa 87.000 istanze MongoDB sono rimaste vulnerabili a MongoBleed (CVE-2025-14847, CISA KEV). 1,8 milioni di password Firebase sono state divulgate in un singolo incidente del 2025. Il 45% del codice generato dall'IA introduce vulnerabilità OWASP Top 10. Database Sentinel verifica se la tua configurazione di sicurezza funziona davvero — non solo se è presente.

Cosa fa

Database Sentinel esegue un audit di sicurezza in 7 passaggi sui backend utilizzati dal tuo progetto:

1. Rileva quali backend stai utilizzando (Supabase, Firebase, MongoDB, Postgres/MySQL self-hosted)
2. Analizza il tuo codebase per credenziali esposte, chiavi hardcoded, segreti in git
3. Ispeziona ogni backend — schema, policy, regole, utenti, ruoli, configurazione
4. Confronta i risultati con cataloghi di anti-pattern specifici per backend provenienti da CVE, report di violazioni, benchmark CIS e ricerche sul vibe-coding 2025–2026
5. Esegue probe dinamici con primitive sicure (tx=rollback, collezioni canarino, rilevatore MongoBleed opt-in)
6. Genera un report di sicurezza con punteggio con spiegazioni in linguaggio semplice e scenari d'attacco concreti
7. Produce il codice di correzione esatto — DDL SQL, file di regole, diff di configurazione, Terraform — copia, incolla, fatto

Il ragionamento cross-backend individua problemi che gli scanner a singolo backend perdono (ad esempio, un UID di Firebase Auth considerato affidabile da un'API Postgres senza verifica JWT).

Stato

Database Sentinel era precedentemente Supabase Sentinel (singolo backend). La ridenominazione è avvenuta durante la Fase 1 dell'espansione multi-backend. Un forward-compat shim in compat/supabase-sentinel/ preserva il vecchio nome della skill almeno fino alla prossima release minore — gli utenti esistenti non vedono regressioni.

Avvio rapido

Opzione 1: Claude Code / Cursor

Clona la skill nella directory delle skill del tuo progetto, o in una centrale:

git clone https://github.com/Farenhytee/database-sentinel.git ~/claude-skills/database-sentinel

Poi chiedi a Claude:

Esegui audit del mio database

Database Sentinel rileverà quale backend utilizza il tuo progetto, eseguirà gli audit pertinenti e produrrà un report unificato. Se sono presenti più backend (Firebase Auth + dati Postgres, ecc.), il report includerà una sezione sulle interazioni cross-backend una volta che la Fase 6 sarà disponibile.

Opzione 2: Invocazione singolo backend

Se vuoi eseguire l'audit solo di un backend specifico, chiedi esplicitamente:

Esegui audit del mio progetto Supabase
Esegui audit della mia istanza MongoDB

Il dispatcher restringe l'ambito.

Opzione 3: Manuale (qualsiasi assistente IA)

Copia il contenuto di SKILL.md insieme al backends/<nome>/workflow.md corrispondente nel tuo prompt di sistema. Segui i 7 passaggi con le tue credenziali.

Cosa individua

Supabase (Fase 1) — 27 pattern

MongoDB (Fase 2) — 20 pattern

Il probe di rete MongoBleed (backends/mongodb/mongobleed-probe.md) include un rilevatore a pacchetto singolo che conferma la sfruttabilità in fase di esecuzione — verificato contro mongo:7.0.20 (vulnerabile) e mongo:7.0.28 (corretto). È in sola lettura, protetto da due conferme opt-in, e non estrae mai contenuti.

Esempio di output

╔════════════════════════════════════════════════════════╗
║                  SENTINEL SECURITY AUDIT               ║
╠════════════════════════════════════════════════════════╣
║  Backends:   supabase, mongodb                         ║
║  Scanned:    2026-04-30 14:30 UTC                      ║
║  Score:      0/100 🔴                                  ║
║  Summary:    2 backends, 8 findings (3C / 4H / 1M)     ║
╚════════════════════════════════════════════════════════╝

─────────────────────────────────────────────────────────
  Supabase                                       35/100 🔴
─────────────────────────────────────────────────────────

🔴 CRITICA — public.users: RLS Disabled                  [SB-001]

  Rischio:   Chiunque su internet può leggere l'intera tabella utenti.
  Attacco:   Apri DevTools del browser → copia la chiave anon → curl l'API →
             scarica tutte le email, i nomi e i metadati.
  Prova:    curl restituisce [{"id":"...","email":"[email protected]",...}]
  Fonte:    CVE-2025-48757 / Splinter 0013_rls_disabled_in_public

  Correzione:
  ALTER TABLE public.users ENABLE ROW LEVEL SECURITY;

  CREATE POLICY "users_select_own"
    ON public.users FOR SELECT TO authenticated
    USING ((SELECT auth.uid()) = id);

─────────────────────────────────────────────────────────
  MongoDB                                         0/100 🔴
─────────────────────────────────────────────────────────

🔴 CRITICA — mongod 7.0.20: MongoBleed (CVE-2025-14847)  [MG-SH-001]

  Rischio:     Un singolo pacchetto TCP divulga frammenti della memoria di
               MongoDB — incluse credenziali, query e dati di documenti —
               senza richiedere alcun login.
  Attacco:    PoC pubblico disponibile dal 26 dicembre 2025; CISA KEV.
               Richieste ripetute scaricano progressivamente più porzioni del
               working set.
  Prova:      buildInfo.version = "7.0.20" (vulnerabile; corretto in 7.0.28)
               compressione zlib abilitata (default): true
               Probe attivo ha restituito: vulnerabile (opCode=2012, 163 byte)
  Fonte:      CVE-2025-14847 / CISA KEV / MongoDB Server Security Update Dic 2025

  Correzione:
  Aggiorna a 7.0.28+. Mitigazione immediata se l'aggiornamento è bloccato:
  net.compression.compressors = "snappy,zstd"  in mongod.conf

✅ PASSAGGIO — Supabase: orders, payments, invoices, subscriptions

Struttura dei file

database-sentinel/
├── SKILL.md                                # Dispatcher — rileva i backend, instrada gli audit (~2K token)
├── DECISIONS.md                            # Decisioni architetturali bloccate (D1-D4 + sostituzioni)
├── core/
│   ├── workflow.md                         # Flusso di audit universale in 7 passaggi
│   ├── detection.md                        # Rilevamento backend + manifest JSON
│   ├── scoring.md                          # Pesi per backend, aggregazione minima
│   ├── reporting.md                        # Formato report unificato (testo + JSON)
│   └── credentials.md                      # Gestione chiavi pubbliche vs privilegiate
├── backends/
│   ├── supabase/                           # Fase 1 — implementato
│   │   ├── workflow.md                     # Audit in 7 passaggi specializzato per Supabase
│   │   ├── audit-queries.md                # 20 query SQL per introspezione schema
│   │   ├── anti-patterns.md                # 27 pattern (SB-001..SB-027)
│   │   └── fix-templates.md                # Template di correzione SQL (7 pattern RLS + altro)
│   └── mongodb/                            # Fase 2 — implementato
│       ├── workflow.md                     # Audit in 7 passaggi specializzato per MongoDB
│       ├── introspection.md                # mongosh + Atlas Admin API + scansione IaC
│       ├── anti-patterns.md                # 20 pattern (MG-SH-001..014, MG-AT-001..006)
│       ├── mongobleed-probe.md             # Rilevatore sicuro CVE-2025-14847 a pacchetto singolo
│       ├── fix-templates.md                # Matrice versioni + mongod.conf + validatori + Atlas TF
│       └── test-recipe.md                  # Ricetta di test end-to-end solo documenti
├── compat/
│   └── supabase-sentinel/                  # Shim retrocompatibile (forza backend=supabase)
│       └── SKILL.md
├── references/
│   ├── vibe-coding-context.md              # CVE-2025-48757, studi sulle violazioni — cross-backend
│   └── cve-feed.md                         # Elenco CVE cross-backend (MongoBleed seed)
├── assets/
│   └── ci/
│       ├── github-action-supabase.yml      # 1 job — audit di sicurezza
│       └── github-action-mongodb.yml       # 3 job — scansione IaC statica, audit live, probe MongoBleed
├── README.md                               # Questo file
├── LICENSE                                 # MIT
├── DECISIONS.md
└── sentinel-implementation-plan.md         # Roadmap espansione multi-backend

Come funziona la divulgazione progressiva: Claude carica inizialmente solo SKILL.md (~2K token) più core/*. Quando il rilevamento identifica un backend, vengono caricati il corrispondente backends/<nome>/workflow.md e i file di riferimento on-demand. Un audit solo Supabase non paga il costo del contenuto MongoDB; le future estensioni Firebase / Postgres / MySQL seguono lo stesso schema.

Monitoraggio continuo (GitHub Actions)

Ogni backend implementato include un template CI workflow:

I workflow si attivano su modifiche ai file pertinenti (migrazioni, file di regole, IaC, manifest delle dipendenze), cron settimanale (lunedì 06:00 UTC) e dispatch manuale. Pubblicano commenti sulle PR, caricano artefatti dei report e falliscono la build in caso di risultati critici.

Basta chiedere: "Configura il monitoraggio di sicurezza continuo per questo progetto."

Ricerca di supporto

Il database di anti-pattern di Database Sentinel è alimentato da:

Ecosistema Supabase / Firebase / vibe-coding

• CVE-2025-48757 — Oltre 170 app Lovable esposte, CVSS 9.3 (Matt Palmer, maggio 2025)
• Escape.tech — Oltre 2.000 vulnerabilità su 5.600 app vibe-coded (ottobre 2025)
• Veracode — Il 45% del codice generato dall'IA introduce vulnerabilità OWASP Top 10 (luglio 2025)
• Carnegie Mellon SusVibes — L'82,8% del codice IA funzionalmente corretto era insicuro (dicembre 2025)
• SupaExplorer — L'11% delle app indie espongono credenziali Supabase (gennaio 2026)
• ModernPentest — 20,1 milioni di righe esposte su 107 startup Y Combinator (marzo 2026)
• OpenFirebase / Icex0 (settembre 2025) — Circa 150 app Firebase con lettura/scrittura non autenticata
• Zendata (maggio 2025) — 1,8 milioni di password Firebase in chiaro divulgate su oltre 900 app
• GitGuardian — 19,8 milioni di segreti Firebase divulgati su GitHub pubblico
• Supabase Splinter — Tutti i 16 lint di sicurezza ufficiali mappati ed estesi
• Wiz Research — Bypass critico dell'autenticazione nella piattaforma vibe-coding Base44 (luglio 2025)

MongoDB / Atlas

• CVE-2025-14847 "MongoBleed" (CVSS 8.7, CISA KEV) — divulgazione heap pre-autenticazione, circa 87K istanze esposte
• CVE-2024-53900 / CVE-2025-23061 — Injection populate-match $where in Mongoose
• CVE-2025-30706 — MongoDB Connector/J critica (CPU Oracle aprile 2025)
• Deprecazione Atlas Data API di MongoDB (30 settembre 2025)
• Tracciamento Shadowserver / ransomware Meow (campagne in corso 2024–2025)
• CIS MongoDB 7 Benchmark v1.2

Vedi references/vibe-coding-context.md e references/cve-feed.md per la serie completa di citazioni.

Cosa individua Database Sentinel che gli strumenti integrati perdono

Sicurezza

Database Sentinel è progettato per essere sicuro per l'uso in produzione:

• Sola lettura di default. Le query di introspezione leggono solo cataloghi di sistema (pg_tables, pg_policies, getCmdLineOpts, ecc.). Nessun DDL o DML di default.
• I probe in scrittura sono opt-in. Strategia per backend:
  • Supabase — Prefer: tx=rollback (nativo PostgREST; zero dati modificati)
  • Postgres self-hosted — BEGIN…ROLLBACK (DDL transazionale)
  • Replica/shared MongoDB — sessione + abortTransaction()
  • Standalone MongoDB — inserimento+cancellazione collezione canarino (pulizia best-effort, inquadrato come opt-in)
  • Firebase — collezione canarino su /_sentinel_probe/{random}
  • MySQL self-hosted — schema _sentinel_probe + DROP DATABASE (opt-in, distruttivo — avviso esplicito)
• I probe di rete (MongoBleed) sono double-opt-in. La policy di audit deve abilitare i probe di rete E l'utente deve confermare separatamente la proprietà dell'host. Alcuni strumenti di monitoraggio generano alert sul pacchetto di probe, anche se si tratta di un singolo test in sola lettura di 42 byte.

Contribuire

I contributi sono benvenuti. I contributi più preziosi:

1. Nuovi anti-pattern — Hai trovato un problema di sicurezza non presente nel nostro database? Aggiungilo al file backends/<nome>/anti-patterns.md pertinente con gravità, query di rilevamento, codice di correzione e prova reale (CVE / violazione / Splinter / CIS).
2. Miglioramenti ai template di correzione — Pattern di policy migliori, casi limite o ottimizzazioni delle prestazioni in backends/<nome>/fix-templates.md.
3. Test live — Esegui Database Sentinel sui tuoi backend e segnala falsi positivi / negativi. I test live hanno permesso di individuare tre bug reali durante la Fase 2 (vedi annotazioni "Verificato empiricamente" in backends/mongodb/mongobleed-probe.md).
4. Nuove estensioni backend — Le fasi 3–5 sono aperte. Segui la struttura di backends/mongodb/ e backends/supabase/. Il piano di implementazione (sentinel-implementation-plan.md) contiene il contratto per ciascuna.
5. Attribuzione pattern vibe-coding — Quando trovi un pattern plausibilmente generato dall'IA da Cursor / Bolt / Lovable / Claude Code, documentalo. Questo è il punto chiave del progetto.

Come contribuire

1. Fai il fork del repository
2. Crea un branch (git checkout -b add-new-pattern)
3. Aggiungi le tue modifiche con documentazione e citazioni chiare
4. Invia una PR con una descrizione del pattern e delle prove

Roadmap

In arrivo a breve

• Fase 3 — Firebase (Firestore + RTDB + Storage + Cloud Functions + Remote Config + App Check). L'estensione più grande; sottomoduli per prodotto Firebase per gestire il budget di token.
• Fase 4 — PostgreSQL self-hosted, incluso pgBouncer (rilevamento CVE-2025-12819)
• Fase 5 — MySQL self-hosted (copertura CVE CPU Oracle; gestione deprecazione mysql_native_password per 8.4+)
• Fase 6 — Analisi interazioni cross-backend (Firebase Auth → trust path Postgres, ecc.)
• Fase 7 — Rifinitura README (questo), guida rapida BACKENDS.md, cronologia deprecazione per lo shim supabase-sentinel

Futuro

• Strumento CLI — npx database-sentinel audit per ambienti non Claude
• Server MCP — accesso programmatico per CI/CD e dashboard
• Estensione VS Code — avvisi di sicurezza in linea nell'editor
• Dashboard premium — tendenze storiche, viste multi-progetto, alert Slack

Cronologia nomi

• Supabase Sentinel (v1) — auditor Supabase a singolo backend. Versione originale.
• Sentinel (nome di lavoro durante il refactoring architetturale della Fase 1)
• DB Sentinel (v2, nome di lavoro transitorio durante il rollout multi-backend)
• Database Sentinel (v3, attuale) — multi-backend; parola intera "database" per una più esplicita rilevabilità della skill e per corrispondere al nome del repository GitHub

Il nome skill supabase-sentinel funziona ancora tramite lo shim di compatibilità in compat/supabase-sentinel/. Forza l'audit al solo Supabase e produce un output indistinguibile dalla v1. Data di fine vita: da definire; almeno fino alla prossima release minore.

Licenza

MIT — usalo come preferisci, commercialmente o meno.

Costruito per l'era del vibe-coding.
Perché "funziona" e "è sicuro" sono due cose molto diverse.