Грязный ноукодер

Вы спросите меня - а как же избежать возможного проникновения внутрь вашего Bubble приложения?
Давайте рассмотрим шаги, которые позволят обезопасить вас:

1. Для начала, отключим отображение спецификации. Для этого нужно зайти в Settings - API и убрать галочку с Hide Swagger API documentation access. Теперь, если добавить api/1.1/meta/swagger.json к URL, то вы получите JSON с ошибкой 404. Однако, это не закрывает доступ к открытым workflows и таблицам БД.

2. Чтобы перейти к разбору workflows нам нужно понять основные слои Bubble API:

- При подключении по API сначала происходит аутентификация - Bubble проверяет подлинность предоставленной вами информации.

Вы можете предоставить:
— bearer token админа, который создается в Settings - API и предоставляет неограниченные права администратора.
— токен пользователя, который можно получить использовав связку логин/пароль и action Log the user in в API workflows.

- Далее, в случае аутентификации под пользователем, система идентифицирует вас по предоставленному токену и определяет какой именно из пользователей вы.

- И в конце авторизирует - определяет какие права вы имеете согласно вашим параметрам. В этом случае права будут ограничены согласно созданным Privacy Rules в БД. Мы рассмотрим это подробнее в следующем посте про Data API и Privacy rules. Я лично не использовал такой метод, но он может быть полезен при разработке SaaS решений.

4. Перейдем к API workflows (один из видов backend workflows). По дефолту они создаются с включенным параметром Expose as public API workflow. Это значит, что они будут видны снаружи, но доступ к ним будет закрыт. Дернуть такие workflows можно изнутри Bubble или снаружи при помощи API токена. Если параметр выключен, вы не сможете дергать этот workflow даже с токеном админа и workflow перестанет быть виден (будет выдавать ошибку 404).

5. Чтобы открыть доступ для всех к публичному API workflow, вам нужно поставить галочку This workflow can be run without authentication. В данном случае любой человек в интернете сможет дернуть этот workflow и потратить capacity вашего приложения (да-да, вы можете скриптом на питоне положить пресловутый Betterlegal в течении часа). Насколько я это понял, данный параметр имеет смысл только при включенном Expose as public API workflow.

6. В случае, если вы авторизовались как пользователь (не админ), то ваши действия будут ограничены Privacy Rules из БД. Если для какого-то кейса вам потребуется игнорировать эти ограничения вы можете использовать параметр Ignore privacy rules when running the workflow.

Ставьте лайк и подписывайтесь - в следующий раз мы разберем Data API и Privacy Rules, от которых перейдем к созданию ролей.

Спасибо за огромный отклик! Продолжаем.

1. Ребята из золотого агентства Bubble - Tinsko, любезно предоставляют сервис для проверки своего приложения. Для этого, однако, потребуется не домен сайта, а ID приложения внутри Bubble. Откуда же нам его взять? Правильно - все из того же файла, он располагается прямо в самом начале API спецификации в параметр “title”.

2. Используем найденный ID (betterlegal) и получаем результат. У нас, как на ладони, лежат все доступные страницы, таблицы, workflows, option sets, плагины и даже API ключи в скрытом виде. Отсюда удобно быстро проверять в каких таблицах имеются данные, находить скрытые страницы (к примеру /test - никогда не забывайте закрывать страницу, на которой вы тестируете функционал), а также увидеть какие из workflows открыты. (открытые workflows имеют пустой параметр "security": [] в спецификации)

3. И так - мы нашли 4 открытых workflows. Так как у нас есть доступ к таблице Affiliate, мы выберем workflow affiliate-create-user. По названию workflow мы можем найти описание структуры запроса в конце спецификации. Из описания следует, что в запросе должен быть указать параметр affiliate, который является ничем иным как unique ID записи таблицы Affiliate.

4. Составляем запрос.
- URL запроса - https://app2.betterlegal.com/api/1.1/wf/affiliate-create-user
- метод POST (из спецификации - “description": "Body of the POST request")
- для JSON Body мы возьмем unique ID случайной записи из Affiliate - {"affiliate":"1643829228111x996033319926247400”}
Не забудьте указать в Headers Content-Type=application/json.

5. Отправляем запрос и получаем ответ "status": "success”. Ура 🥳 Возможно, мы только что создали проблем для разработчика, которому придется разбираться с очередным странным поведением системы, как будто у него нет других забот. Ай-я-яй…

Лирическое отступление - данную фичу(а не баг) я нашел не сам, ее опубликовал Ryan Kulp. Из статьи следует, что он писал множеству сайтов с данной дырой в системе, но большинство из них не ответили.
По моему личному опыту большинство команд не успевают следить за всеми деталями, люди в командах то и дело меняются и в приоритете находятся совсем другие задачи. Отсутствие настроек приватности может указывать на использование этих данных в каких-либо запросах внутри Bubble или извне. Из-за неэффективного построении БД или воркфлоус вы можете оказаться заложником такой ситуации и ее исправление (закрытие данных от публики) может стать очень трудозатратным в будущем.

Чтобы избежать такой ситуации, сверьтесь с чеклистом Tinsko и стройте приложения с учетом будущего роста.

Хотите узнать как улучшить производительность и безопасность Bubble приложения?
Ставьте лайк и подписывайтесь - совсем скоро я опубликую 5 советов по улучшению безопасности вашего Bubble приложения.

P.S. камон, не все так страшно, просто поставьте галочку Hide Swagger API documentation access в Settings - API 😐

В детстве я подолгу засиживался в Uplink, где от лица хакера вы проникаете во внутренние системы организаций и забираете их данные.
Сегодня мы попробуем проникнуть внутрь сервиса с годовой выручкой $2.7 млн, построенного на Bubble, и получить “немного” личных данных оттуда 😏

Следите за руками и повторяйте за мной:

0. Данный фокус можно проделать с любым сайтом на Bubble, но для интереса мы возьмем сервис из раздела Showcases. Там представлены наиболее успешные компании, использующие Bubble, и одна из них - BetterLegal. Она помогает открывать бизнес в США и обслуживает 15 тысяч клиентов, имея годовой оборот $2.7 млн. Компания собирает множество личной информации для заполнения официальных бумаг и должна иметь хорошую безопасность.

1. Проверяем HTML-код сайта (ПКМ - Исследовать / F12)- сайты на основе Bubble содержат в названиях классов слово “bubble”.
Их лендинг сделан на Bubble, но иногда лендинги собирают с помощью других конструкторов (Tilda, Webflow), поэтому следует проверять сразу страницу аутентификации (Логин/Регистрация).
Нажав на кнопку Login мы попадаем на страницу с другим URL - порталы часто располагаются на отдельных субдоменах.

2. Пора посмотреть что у них под капотом - добавьте к доменной части “/api/1.1/meta/swagger.json”. Пример - https://app2.betterlegal.com/api/1.1/meta/swagger.json

3. Ура - мы внутри. Этот большой JSON содержит в себе описание API сайта. Пользуясь поиском по странице (Ctrl+F) и ключевым фразам мы можем быстро пробежаться по 3 вещам:

1. retrieve a list - таблицы базы данных с описанием запросов к ним
2. Triggers the workflow - backend workflows
3. "definitions" - параметры таблиц баз данных и структура запросов к backend workflows

4. Давайте попробуем вытащить данные одной из таблиц - для этого нужно добавить к доменному имени “/api/1.1/obj/[тут имя таблицы]”. В нашем примере это таблица Affiliate - https://app2.betterlegal.com/api/1.1/obj/affiliate

5. Готово, вы прекрасны! Используя дополнительные параметры cursor и limit, вы можете получить список 106 тысяч имен и емайлов, которые не должны были оказаться в публичном доступе. Проверив таблицу “org” вы вдобавок обнаружите список компаний, скорее всего зарегистрированных в данном сервисе, всего их 28 тысяч на данный момент.

Вау, очень интересно! Но какой урок мы можем вынести из всего этого?

Скорее бегите в базу данных настраивать Privacy rules, если вы еще не сделали этого.

А если вы хотите узнать, как дернуть на этом сайте backend workflow и получить сервис показывающий весь этот сложный JSON в хорошем виде еще и с открытыми backend workflows и количеством данных в базах - ставьте лайк и подписывайтесь - скоро я опубликую следующую часть.

Отличное видео для тех, кто пытается стать более осознанным и достигать поставленных целей

https://youtu.be/-b1mcwkhXCo

Решил запустить свою рассылку. Посмотрим насколько долго это продержится, так как многие такие затеи заканчивались примерно на следующей неделе.

Идея - рассматривать под микроскопом различные индустрии, узнавать их боли и прикидывать потенциальные решения, которые могут быть реализованы с помощью no/low-code. Я собираюсь добавляться в Linkedin к представителям этой индустрии (основатели, владельцы, директора) и просить о проведении интервью в стиле кастдева, чтобы определить боли ведения их бизнеса. Большая часть статьи сгенерирована с помощью ChatGPT, что требует не меньше времени, чем написать ее самому (скоро распишу как именно я пользую ChatGPT). Тем не менее, все написанное имеет ценность и является в первую очередь исследованием для самого себя, поэтому качество остается на уровне.

Почему следует потратить на это время?
Многие no/low-code разработчики могут собрать решения, но немногие могут принести реальную пользу клиенту и выступить чем-то большим, чем просто руками для технической реализации решения. Умение глубоко погружаться в процессы и самостоятельно предлагать решения повышает ваш авторитет в глазах клиента вместе со стоимостью вашей работы.


Первой индустрией я выбрал маркетинговые агентства, так как я помогал одному из агенств пару лет назад и до сих пор вижу спрос с их стороны на автоматизацию внутренних процессов. Именно маркетологи были одними из первых пользователей Zapier и помогли в становлении ноукода.

Читайте и подписывайтесь.

Всем привет!

На днях я созвонился с одним из кофаундеров Blaze и они показали мне демо. Судя по увиденному, это очень ограниченный продукт, который разрабатывается для решения простых задач менеджерами внутри больших компаний. Функционал значительно ограничен по сравнению с тем же Bubble, как и дизайн.

Куда более интересным мне показался Noodl, который я планирую изучить в ближайшее время. Он позволяет очень гибко разрабатывать решения и создавать свои собственные компоненты и функции. При этом, вся разработка ведется внутри скаченного на ПК софта. Также, у них есть бета версия AI помощника, которые на лету генерирует интерфейс. Я попробую создать на нем CRM, чтобы понять сколько это займет времени и как сложно будет это поддерживать.

Weweb посмотреть еще не успел.

Мир не стоит на месте и каждый день люди пытаются улучшить существующие продукты. Как Webflow обошел Tilda, как Flutterflow оставил позади Adalo и Glide, так рано или поздно появится продукт лучше Bubble.
Советую никогда не отмахиваться от новых инструментов и пробовать изучать их хотя бы для собственного развития.

Новые интересные no-code конструкторы, к которым я бы пригляделся:
1. Noodl - интересный редактор (см. картинку), который позволяет удобно дебажить процессы и создавать архитектуру приложения.
2. Weweb - основным преимуществом является экспорт кода и может быть использован, как альтернатива Bubble. Сфокусированы на интеграции с Xano и Supabase, что также является преимуществом при скейлинге проекта.
3. Blaze - у них нет публичного доступа и судя по прайсингу они сфокусированы на внедрении в компании. Но если их функционал заточен по internal tools и закрывает большую часть кейсов, то это может быть интересным решением для многих компаний.

Всем привет!

Пока не придумал ничего интересного делюсь с вами еще несколькими источниками no-code вакансий

1. Список Airtable агентств - смотрите их вакансии на сайтах, пишите на прямую им или их клиентам
2. Newsletter по no-code - включает в себя интересные штуки и вакансии в том числе
3. Форум Bubble - на нем размещается много проектов и заказов, также можно купить подписку уровня Агентство и вам откроется внутренняя доска объявлений с еще большим количеством проектов (работает по типу Upwork)

Грязный ноукодер pinned «100 человек 🔼 Хотелось бы больше взаимодействовать с подписчиками и понять их интерес к данному каналу. Возможно у вас есть какие-то вопросы ко мне или задачи, которые вы не можете решить - буду рад помочь с любой проблемой. Напомню кто я такой: Меня зовут…»

100 человек 🔼

Хотелось бы больше взаимодействовать с подписчиками и понять их интерес к данному каналу. Возможно у вас есть какие-то вопросы ко мне или задачи, которые вы не можете решить - буду рад помочь с любой проблемой.

Напомню кто я такой:

Меня зовут Марк и на данный момент я дислоцируюсь в Буенос-Айресе. Я занимаюсь low/no-code разработкой около 3х лет и успел поработать внутри Make.com, заглянуть одним глазком в JetAdmin, побывать одним из первых low-code разработчиков в JTI и даже поработать с Miro.

Что я могу как разработчик/продакт/бизнес-аналитик:

1. Создать для стартапа сложную архитектуру для обработки тысяч лидов, начав с одной таблицы Airtable, и тем самым помочь поднять пару раундов по $100k .
2. Собрать портал для инвестиционного фонда и отвечать за ежемесячное распределение дивиденов на сумму $1 млн.
3. Собрать внутренний портал для управления данными 15 тысяч пользователей и сбора с них ежемесячных платежей на сумму $3 млн.

С чем я могу помочь разработчикам:

1. Подсказать как выглядить внушительно и важно на Linkedin и Upwork (ссылки на мои профили)
2. Поделиться фишками и практиками работы в no-code сервисах - Bubble, Make, Airtable, Retool
3. Помочь решить сложную задачу на проекте / интегрировать сервис / автоматизировать процесс / улучшить продукт
4. Стать вашим ментором / наставником и помочь в работе с клиентами, выходе на зарубежные рынки, развитии технических скиллов и тд.

Мой контакт - @low_code

___


Я буду и дальше писать про no-code и саморазвитие (сейчас я прохожу курс по предпринимательству от Wharton и использую ChatGPT для изучения лайфкоачинга), поэтому “оставайтесь с нами и до скорых встреч”. 👋

Всем привет!
Я совсем пропал, потому что произошло много событий)
Последнюю неделю я болел, а неделей ранее я принял решение закончить попытки выстроить рабочие процессы для агентства.

Дело в том, что идея создать агентство появилась еще пару лет назад и я держал ее в голове, как данность.
В августе прошлого года я нашел большой проект, и через полгода мне выделили бюджет, чтобы я собрал себе команду для решения задач.
Я всегда хотел поработать со своими друзьями, так как они все хороши в своем деле.

Мы вместе работал над крупным проектом в рамках этой компании и через несколько месяцев проект подошел к концу. Пришло время искать новые проекты, а значит вести себя как агентство - налаживать каналы и процесс продаж, выстраивать процесс разработки и так далее. За месяцы интенсивной работы без выходных я перегорел и понял, что не могу сейчас заниматься этим, к тому же оказалось, что управление друзьями, как командой, плохо совместимо. У меня не было большого опыта управления, а опыт друзей не очень подходил под требуемые роли, хоть они и могли при желании решить любую задачу.

Таким образом в один момент я понял, что пытаюсь натянуть сову на глобус и оставил эту идею.
Также, на этой неделе я узнал, что руководитель компании, где я реализовывал большой проект и все еще отвечал за его работу, находится под следствием (США, налоги и тд), а значит и мне нужно искать новое пристанище.

Продолжение следует…


P.S.
Если вы ищите нетворкинга, советую посмотреть эти сервисы:
1. Межународный Random-coffee - https://lunchclub.com/
2. Российское сообщество, где можно найти новые знакомства или ментора - https://tweekly.ru

Всем привет!
Сложно поспеть по всем направлениям без отдельного контент-менеджера, поэтому контент-план последней недели провалился. Все таки следует разбивать большие посты на множество мелких, так как это по большей части обучающий контент, а в образовательном процессе нынче доминирует формат микрообучения.

Есть несколько идей для следующего поста, за которые я предлагаю вам проголосовать:
1. Рассказ про текущие трудности в жизни агентства и мытарства с выстраиванием коммуникаций в команде и с клиентом.
2. Показ кусочка нашей работы с рассказом про наши подходы в разработке и советами. (Видео на 2-3 минуты в рамках одного из сервисов - Bubble, Make, Airtable)

В последние 3 дня недели мы решили поделиться советами по 3-м нашим любимым инструментам - Make, Bubble и Airtable.

Сегодня мы хотим дать вам советы по одной из наиболее важных тем при разработке и поддержке больших проектов в Make - обработка ошибок:

1. Расширенные настройки для HTTP модулей

- Используйте функцию "Рассматривать все состояния как ошибки (за исключением 2xx и 3xx)", чтобы отследить любые HTTP-коды ответов, указывающие на сбой (4xx и 5xx коды).
Это может помочь вам заблаговременно выявить проблемы с сервером или самим запросом. Не забывайте обрабатывать потенциальные повторные попытки при временных ошибках или проблемах, которые могут быть решены при последующей попытке.

2. Дополнительные действия при обработке ошибок

- Обязательно записывайте ошибки в базу данных для будущего анализа.
Этот журнал должен включать дату, событие и сценарий, связанный с ошибкой. Чем подробнее журнал, тем проще будет устранить проблемы. Рассмотрите возможность добавления метаданных, таких как идентификаторы пользователей или состояние системы при возникновении ошибки.

- Разработайте систему обработки ошибок в зависимости от их серьезности или типа.
Не все ошибки потребуют одинакового действия. Некоторые могут требовать немедленного внимания, в то время как другие можно решить позже. Может быть полезно категоризировать ошибки, чтобы помочь их приоритизировать.

- Создайте систему для немедленных уведомлений об ошибках.
Например, вы можете использовать специальный канал в Slack или в другом мессенджере. Это поможет гарантировать, что вы сможете быстро реагировать на любые ошибки и минимизировать потенциальный ущерб.

3. Настройки сценариев для ошибок

- Используйте настройку "Количество последовательных ошибок" для ограничения максимального количества циклов во время запланированного выполнения сценария.
Это может помочь предотвратить бесконечные попытки выполнения сценария, несмотря на возникающие ошибки.

- Функция "Разрешить хранение неполных исполнений сценария” может быть полезной для сохранения данных, которые не могли быть обработаны из-за ошибки или которые не могли быть доставлены до их конечного места назначения.
Вы можете повторно обработать эти данные позже, но помните, что это будет храниться в пределах вашего места хранения согласно тарифному плана. Всегда следите за количеством неполных выполнений - если оно постоянно увеличивается, это может указывать на системную проблему, которую нужно решить.

- Используйте настройку “Максимальное количество циклов”, чтобы разбивать на несколько циклов обработку большого количества информации.
Данная настройка поможет вам избежать ошибок таймаута и обособить обработку массива записей на несколько циклов. С другой стороны это добавляет сложностей при просмотре логов (каждый цикл нужно смотреть отдельно)

Завершаем тему поиска новых клиентов для разработчика/no-code.

Ресурс № 5

Заявка на программу инкубатора - Если у вас есть опыт в индустрии, вы знаете о реальной проблеме и имеете проверенное решение для неё, рассмотрите возможность подачи заявки на программы инкубаторов/акселераторов, такие как Antler, или найдите кофаундера в программе поиска кофаундеров Y Combinator, используя свои навыки без кода.

Задание - Зарегистрируйтесь в Y Combinator, настройте профиль и отправьте 1 приглашение.

Ресурс № 6

Доски с вакансиями (LinkedIn, Indeed, доски для удалённой работы) - все больше компаний внедряют no-code решения и открывают вакансии. Также исследуйте секции карьеры сервисов, с которыми вы работаете. Я нашёл свою первую международную работу в качестве QA в компании Make.

Задание - Проведите поиск работы и подайте заявку на одну вакансию, которая привлекла ваше внимание. Не забывайте, что часто в вакансиях указывается больше требований, чем нужно, не бойтесь отзываться на вакансии, где вы не дотягиваете.

Источник №4

Агентства - Множество no-code и традиционных агентств ищут no-code разработчиков. Проверьте раздел "Вакансии" на их сайте или, что еще лучше, обращайтесь во все возможные компании. Будьте готовы продемонстрировать примеры своих работ.

Задание - Выберите 3 агентства, подготовьте сопроводительное письмо (желательно уникальное с деталями почему вы хотите работать именно в этом агентстве - ChatGPT может просматривать страницы и помогать вам с этим) и портфолио, и свяжитесь с ними через email или напрямую в LinkedIn.

Списки агентств: партнеры Make, агентства Bubble, каталог Clutch (агентства с традиционной разработкой начинают открывать направления no-code - Jafton начали использовать для разработки мобильных приложений Flutterflow и активно набирают разработчиков)

Источник №3

Нетворкинг (форумы, чаты, random cofee) — выберете несколько форумов/сообществ и помогайте людям даже с вещами, с которыми вы не знакомы. Потратьте время на понимание проблемы, смоделируйте ситуацию, решите проблему и поделитесь решением. Такой подход повышает ваш опыт и авторитет, а иногда даже помогает найти клиентов.

Задача - Зарегистрируйтесь в сообществе и ответьте на 3 вопроса.

Источники - сообщества Slack, форумы сервисов (Bubble, Make, Airtable), группы сервисов в социальных сетях (Linkedin, Facebook).

Источник №2

Социальные сети (LinkedIn, Indiehackers, Reddit) — это ваш шанс создать свой бренд. Делитесь ценной информацией, заметками из курсов или книг и общайтесь с людьми. Убедитесь, что ваша фотография является первоклассной (используйте AI или попросите отфотошопить фотку, если она не выглядит профессиональной), и адаптируйте каждый раздел профиля в соответствии с лучшими практиками. Пользуйтесь сервисами типо Waalaxy для автоматического коннекта.

Задача - очистите свой профиль LinkedIn и свяжитесь с 5 владельцами no-code агентств и 5 no-code разработчиками . Никогда не знаешь, где может скрываться потенциальный клиент.

Дополнительное задание — напишите пост о последних инсайтах, которые вы получили во время разработки, или о последнем, что вы узнали из курса/статьи/книги. Не думайте, дойдет ли этот пост до многих людей и станет ли он популярным или нет. Во-первых, это игра в долгую, во-вторых, письмо закрепляет в уме полученные знания.
_
Удалось ли кому-нибудь выполнить предыдущее задание?) Буду рад помочь чем смогу

Спасибо за ответы!
Голоса разделились поровну, но большую часть времени лидировали советы по работе с клиентами, поэтому предлагаю уделить эту неделю одному из важнейших вопросов - где найти клиентов?

Каждый день я буду делиться новым источником и небольшим заданием, чтобы помочь вам сделать шаг в сторону поиска следующего клиента.

Источник №1

Доски фрилансеров (Upwork, Freelancer, Codemap, TG доски заказов Cyberband и Я -зерокодер) - Идеальное начало. Начните с любых проектов, даже тех, которые стоят всего 20 долларов. Обеспечьте превосходный опыт работы с клиентами и не забудьте попросить отзыв (желательно видео). Со временем ваш профиль усилится, и вы получите более высокооплачиваемые заказы.

Задача - Зарегистрируйтесь на любой платформе с заказами и настройте подробный профиль с помощью ChatGPT (sms-aktivate и VPN). Помните, качество имеет значение. Это разовое усилие, которое будет использоваться неоднократно.

Дополнительное задание - Если у вас уже есть учетная запись, отлично! Ваша задача — доработать свой профиль. Ознакомьтесь с лучшими фрилансерами, улучшите скриншоты ваших проектов (xnapper) и сосредоточьте описание проектов на решении проблем клиента - покажите какую ценность вы принесли клиенту.

Делитесь в комментариях результатами и задавайте вопросы, если возникнут проблемы с заданиями - буду рад всем помочь!