Auditoria de segurança para apps feitos com v0
Em um app feito com v0, começo por dois lugares: as variáveis de ambiente e as rotas de servidor. Uma variável com o prefixo NEXT_PUBLIC_ acaba no código enviado ao navegador, e uma rota que não confirma quem está pedindo entrega dados a quem souber o endereço. Reviso esses pontos manualmente, com testes reais.
Por que as variáveis públicas são um risco?
No Next.js, para uma variável chegar ao navegador ela precisa ter o prefixo NEXT_PUBLIC_, e o valor fica incluído no JavaScript da página. A própria Vercel avisa que os modelos de IA usam mal esse mecanismo e colocam segredos, como credenciais de banco de dados e chaves de API, nessas variáveis.
A proteção da plataforma ajuda, mas não substitui uma verificação. Uma chave pode não ter um formato reconhecível e continuar sendo sensível.
O que muda quando você conecta um banco de dados?
O v0 se conecta com poucos cliques a serviços como Neon, Supabase, Upstash e Vercel Blob, e consegue executar SQL para criar e alterar tabelas. É rápido, mas as regras de acesso continuam sendo responsabilidade do seu app. Com Supabase, verifico o RLS. Com outros bancos, confirmo que cada rota verifica o usuário e o dono dos dados.
O que verifico
- Segredos em variáveis NEXT_PUBLIC_ e no JavaScript enviado ao navegador
- Rotas de API e Server Actions que não confirmam usuário e dono dos dados
- Regras do banco de dados conectado
- Login e sessões
- Pacotes instalados: se existem, se são os certos e se têm falhas conhecidas
- Deployments de pré-visualização com acesso público a dados reais
Perguntas frequentes
A Vercel não bloqueia segredos expostos?
A Vercel descreve proteções para isso, e ainda bem. Mas uma verificação automática não pega todos os casos, nem as falhas de acesso entre usuários, que são outro tipo de problema.
Você revisa apps do v0 hospedados fora da Vercel?
Sim. Reviso o código e a configuração, onde quer que estejam hospedados. Se a stack for diferente das que reviso, aviso antes de cobrar.
Quer que eu revise o seu app?
Envie o repositório. Respondo em 1 dia útil com o escopo e o preço fechado. A auditoria leva de 3 a 5 dias úteis depois que você aceita o escopo.
Guias relacionados
Fontes oficiais
A AIlocal é um serviço independente e não tem nenhuma afiliação com v0. Os nomes pertencem aos respectivos donos.