Lncement officiel de la plateforme

1. Sécurité / RLS

• Le scénario du client ne s'applique pas. L'appli mobile ne contient aucun client Supabase ni clé Supabase (zéro référence dans apps/mobile, idem pour l'admin). La seule clé publique embarquée est celle de RevenueCat, conçue pour l'être. La base n'est joignable que par l'API NestJS sur Render, avec JWT, et l'API utilise la chaîne Postgres secrète côté serveur. Abonnements, codes promo et notifications passent déjà par l'API.

• Activer le RLS reste une bonne hygiène : ça ferme la porte PostgREST si la clé anon fuitait un jour. Sans effet sur l'API, car le rôle postgres est propriétaire des tables et contourne le RLS (tant qu'on ne met pas FORCE). Aucune policy n'est nécessaire puisque rien n'utilise PostgREST. À passer dans le SQL Editor, en testant l'API après la première table :

2. Lenteur au lancement

• Mesuré aujourd'hui : premier appel à l'API en 132 s, les suivants en 0,7 s. C'est l'instance Render gratuite qui s'endort après 15 minutes sans trafic. Un ping quotidien n'y change rien, il en faudrait un toutes les 5 à 10 minutes, et le keep-alive de l'appli ne tourne que quand elle est ouverte. Supabase n'est pas en cause pour le sommeil.

• Région : d'après les hôtes dans le code, les deux projets Supabase sont en Europe (Paris et Irlande).

• Cache : en place depuis la 2.1.0 (cache React Query persisté sur disque 7 jours, vérifié hors-ligne la semaine dernière). Le client a sans doute testé une version antérieure ; la 2.1.1 vient d'être soumise.

• Rien ne bloque l'affichage : police par défaut, thèmes, RevenueCat se chargent en asynchrone, le fil apparaît dès que le cache est lu. Pas d'Edge Function. Aucun index explicite sur quotes, mais à cette échelle ce n'est pas le goulot (la requête /quotes prend 0,87 s dont 0,8 de réseau).

• À vérifier sur Render : NODE_ENV=production, sinon TypeORM resynchronise le schéma à chaque démarrage.