Auditoria de segurança para apps feitas com Lovable
Uma app feita com Lovable pode passar nos scans da própria plataforma e continuar a ter falhas que só se veem a ler o código e a testar os acessos. Reviso essa parte à mão: quem consegue ver e alterar que dados, onde estão as chaves e o que acontece quando alguém usa a app de forma que a IA não previu.
Os scans do Lovable não chegam?
São um bom primeiro passo, e deves usá-los. O scan rápido corre quando publicas e verifica as regras de acesso à base de dados, as dependências npm e a exposição de servidores MCP, mas não cobre o código da app. O scan profundo revê o código, mas não corre sozinho enquanto trabalhas: em regra, tens de o iniciar tu.
A própria documentação do Lovable diz que estas ferramentas não garantem segurança completa, que a responsabilidade é tua e que apps com dados sensíveis ou funções críticas devem ter uma revisão profissional adicional. É esse o papel desta auditoria.
O que um scan não consegue decidir?
Um scan encontra padrões. Não sabe que, na tua app, um gestor pode ver as faturas da sua empresa mas não as de outra. Uma regra de acesso pode existir, estar ativa e mesmo assim deixar passar quem não devia. Para o saber, testo com contas reais de utilizadores diferentes.
O que verifico
- Regras de acesso (RLS) em todas as tabelas, testadas com utilizadores diferentes
- Regras que deixam passar toda a gente sem ser essa a intenção
- Chaves no código que corre no browser, em vez de ficarem no servidor
- Código de servidor que ignora as regras de dono dos dados
- Login, sessões e recuperação de palavra-passe
- Pagamentos e dados pessoais, nos pacotes que os incluem
Perguntas frequentes
Posso usar o scan do Lovable em vez de uma auditoria?
Para uma app simples, sem dados sensíveis, pode bastar como ponto de partida. Com contas de utilizador, pagamentos ou dados pessoais, recomendo uma revisão manual, como a documentação do Lovable também sugere para dados sensíveis.
Preciso de exportar o projeto do Lovable?
Preciso de acesso de leitura ao repositório. Se o projeto ainda não estiver num repositório, digo-te o que fazer antes de começar.
Queres que eu reveja a tua app?
Envia-me o repositório. Respondo em 1 dia útil com o âmbito e o preço fechado. A auditoria demora de 3 a 5 dias úteis depois de aceitares o âmbito.
Guias relacionados
Fontes oficiais
A AIlocal é um serviço independente e não tem qualquer afiliação com Lovable. Os nomes pertencem aos respetivos donos.