Auditoria de segurança para apps feitos com Lovable
Um app feito com Lovable pode passar nos scans da própria plataforma e continuar com falhas que só aparecem lendo o código e testando os acessos. Reviso essa parte manualmente: quem consegue ver e alterar quais dados, onde estão as chaves e o que acontece quando alguém usa o app de um jeito que a IA não previu.
Os scans do Lovable não bastam?
São um bom primeiro passo, e vale usar. O scan rápido roda quando você publica e verifica as regras de acesso ao banco de dados, as dependências npm e a exposição de servidores MCP, mas não cobre o código do app. O scan profundo revisa o código, mas não roda sozinho enquanto você trabalha: em geral, é você quem precisa iniciá-lo.
A própria documentação do Lovable diz que essas ferramentas não garantem segurança completa, que a responsabilidade é sua e que apps com dados sensíveis ou funções críticas devem passar por uma revisão profissional adicional. Esse é o papel desta auditoria.
O que um scan não consegue decidir?
Um scan encontra padrões. Ele não sabe que, no seu app, um gerente pode ver as faturas da própria empresa, mas não as de outra. Uma regra de acesso pode existir, estar ativa e mesmo assim deixar passar quem não deveria. Para saber, testo com contas reais de usuários diferentes.
O que verifico
- Regras de acesso (RLS) em todas as tabelas, testadas com usuários diferentes
- Regras que deixam todo mundo passar sem que essa seja a intenção
- Chaves no código que roda no navegador, em vez de ficarem no servidor
- Código de servidor que ignora as regras de dono dos dados
- Login, sessões e recuperação de senha
- Pagamentos e dados pessoais, nos pacotes que os incluem
Perguntas frequentes
Posso usar o scan do Lovable em vez de uma auditoria?
Para um app simples, sem dados sensíveis, pode bastar como ponto de partida. Com contas de usuário, pagamentos ou dados pessoais, recomendo uma revisão manual, como a documentação do Lovable também sugere para dados sensíveis.
Preciso exportar o projeto do Lovable?
Preciso de acesso de leitura ao repositório. Se o projeto ainda não estiver em um repositório, digo o que fazer antes de começar.
Quer que eu revise o seu app?
Envie o repositório. Respondo em 1 dia útil com o escopo e o preço fechado. A auditoria leva de 3 a 5 dias úteis depois que você aceita o escopo.
Guias relacionados
Fontes oficiais
A AIlocal é um serviço independente e não tem nenhuma afiliação com Lovable. Os nomes pertencem aos respectivos donos.