Auditoria de segurança para apps feitas com v0
Numa app feita com v0, começo por dois sítios: as variáveis de ambiente e as rotas de servidor. Uma variável com o prefixo NEXT_PUBLIC_ acaba no código enviado ao browser, e uma rota que não confirma quem está a pedir entrega dados a quem souber o endereço. Reviso estes pontos à mão, com testes reais.
Porque é que as variáveis públicas são um risco?
Em Next.js, para uma variável chegar ao browser tem de ter o prefixo NEXT_PUBLIC_, e o valor fica incluído no JavaScript da página. A própria Vercel avisa que os modelos de IA usam mal este mecanismo e colocam segredos, como credenciais de base de dados e chaves de API, nestas variáveis.
A proteção da plataforma ajuda, mas não substitui uma verificação. Uma chave pode não ter um formato reconhecível e continuar a ser sensível.
O que muda quando ligas uma base de dados?
O v0 liga-se com poucos cliques a serviços como Neon, Supabase, Upstash e Vercel Blob, e consegue executar SQL para criar e alterar tabelas. É rápido, mas as regras de acesso continuam a ser responsabilidade da tua app. Com Supabase, verifico o RLS. Com outras bases de dados, confirmo que cada rota verifica o utilizador e o dono dos dados.
O que verifico
- Segredos em variáveis NEXT_PUBLIC_ e no JavaScript enviado ao browser
- Rotas de API e Server Actions que não confirmam utilizador e dono dos dados
- Regras da base de dados ligada
- Login e sessões
- Pacotes instalados: se existem, se são os certos e se têm falhas conhecidas
- Deployments de pré-visualização com acesso público a dados reais
Perguntas frequentes
A Vercel não bloqueia segredos expostos?
A Vercel descreve proteções para isso, e ainda bem. Mas uma verificação automática não apanha todos os casos, nem as falhas de acesso entre utilizadores, que são outro tipo de problema.
Revês apps do v0 alojadas fora da Vercel?
Sim. Reviso o código e a configuração, onde quer que estejam alojados. Se a stack for diferente das que reviso, digo-te antes de cobrar.
Queres que eu reveja a tua app?
Envia-me o repositório. Respondo em 1 dia útil com o âmbito e o preço fechado. A auditoria demora de 3 a 5 dias úteis depois de aceitares o âmbito.
Guias relacionados
Fontes oficiais
A AIlocal é um serviço independente e não tem qualquer afiliação com v0. Os nomes pertencem aos respetivos donos.