Schema da API fechado para a chave anônima
Pede a raiz da API REST (/rest/v1/) com a chave anônima e falha se a resposta trouxer o documento OpenAPI com as tabelas, colunas e funções expostas.
Por que importa
A chave anônima é pública: ela vai junto com o front-end. Com o documento OpenAPI, qualquer pessoa vê o nome de cada tabela e coluna exposta e pode testar uma por uma em busca de uma política de RLS que falte. Sozinho, isso não dá acesso a dados, por isso a severidade é baixa.
Como corrigir
No painel do Supabase, em Settings → API, limite os schemas expostos pela API aos que o front-end usa. Para partes sensíveis, revogue o acesso da role anon com REVOKE USAGE ON SCHEMA <schema> FROM anon.
Como conferir a correção
SB-001
# Um número na saída indica que o schema está visível para a chave anônima.
curl -s "$SUPABASE_URL/rest/v1/?apikey=$ANON_KEY" | jq ".paths | keys | length"