auth
Tu app le ha pedido al proveedor de identidad que, cuando termine, devuelva al usuario a una dirección concreta. El proveedor ha mirado su lista de direcciones permitidas, no la ha encontrado, y se ha negado. Está haciendo exactamente lo que debe.
Revisado en agosto de 2026
De paso
Analízala gratis mientras lees. Tarda treinta segundos y no toca nada.
Solo leemos lo que tu app ya le entrega a cualquier visitante.
Diagnóstico
Esa lista existe por un motivo serio. Si cualquiera pudiera decidir a qué dirección se devuelve a un usuario recién identificado, bastaría con montar un enlace que mandara la sesión a una web ajena. La lista blanca es lo que lo impide, y por eso la comparación es literal y sin concesiones.
Y ahí está la trampa: literal significa literal. Una barra al final que sobra o que falta, http en vez de https, o el dominio con www cuando declaraste el que va sin www, son direcciones distintas para el proveedor aunque a ti te parezcan la misma.
El caso que más se repite es el de las previsualizaciones. Cada despliegue de preview genera una dirección nueva e irrepetible, así que declararlas una a una es imposible: hay que declarar un patrón con comodín que las cubra todas.
Y si el mensaje aparece solo con el botón de Google o de GitHub, mira en otro sitio. Esos proveedores tienen su propia lista, en su propia consola, y es independiente de la de Supabase.
Solución
La clave es copiar la dirección exacta, no escribirla de memoria. La mitad de los intentos fallidos son por un carácter de diferencia.
Los cambios en la consola de Google pueden tardar unos minutos en aplicarse. Si acabas de tocarlo y sigue fallando, espera cinco minutos antes de volver a cambiar nada, o acabarás persiguiendo un problema que ya habías resuelto.
Pégaselo tal cual al agente que escribió tu app. Está redactado para que te diga lo que ha hecho, no solo para que lo haga.
Prompt para tu agente
Mi app da el error "Invalid redirect URL" al iniciar sesión. Necesito que hagas esto: 1. Busca en el código todos los sitios donde se construye la dirección de retorno del login y enséñame exactamente qué valor produce cada uno en local, en preview y en producción. 2. Si alguna está escrita directamente en el código, cámbiala para que se calcule a partir de la dirección desde la que se está sirviendo la app. 3. Unifica el criterio de la barra final: que la dirección generada nunca la lleve, o que siempre la lleve, pero que sea consistente. 4. Dime la lista literal de direcciones y patrones que tengo que declarar en la configuración de URLs de Supabase para que funcionen local, previsualizaciones y dominio. No cambies la lógica de autenticación: esto es configuración de direcciones declaradas.
Si no sale
O el escáner de arriba ha encontrado algo y prefieres no tocarlo solo. En cualquiera de los dos casos esto ya es de los gordos y merece un humano: no es que no hayas sabido, es que has llegado al punto en que hace falta alguien que entre y lo vea por dentro.
Las 10 primeras apps son gratis. Estoy empezando y necesito casos reales. A cambio te pido permiso para contar después qué me encontré, sin decir de quién era la app ni enseñar tus datos. Sin tarjeta y sin suscripción: cuando se acaben las plazas empezaré a cobrar y lo diré aquí.
Cita a partir de mañana
Gratis
durante el lanzamiento
Elegimos hueco, miro tu app con calma y te digo qué pasa y cómo se arregla.
Hoy, en cola prioritaria
Gratis
durante el lanzamiento
Entras en la cola de hoy. Reservas hueco y lo dejamos resuelto en el día.
Quién
Marc Sala
IT Manager
No es un rating anónimo de un marketplace: es la persona que va a entrar en tu app. Reviso el código, encuentro qué falla y lo arreglo contigo delante, explicándote qué ha pasado sin jerga.
Relacionados