Segurança
Seu app feito com IA é seguro? Conferimos chaves, RLS e LGPD
A plataforma monta o app rapidamente. Quem acessa cada tabela e onde fica cada chave continuam sendo decisões suas. É nesse ponto que os dados vazam.
Nossa equipe verifica quem consegue ler cada tabela do seu banco, onde estão as chaves e o que a LGPD exige do seu app.
No navegador
No servidor
conta B lê pedidos
Pedido 1042 da conta A aparece para a conta B
RLS ligado: a conta B só vê os pedidos dela
1O problema
Sinais de que o app já pesa
- Você não sabe dizer quem consegue ler cada tabela do banco.
- Tem chave de pagamento, de e-mail ou de IA no código que roda no navegador.
- O app guarda nome, e-mail ou CPF e ainda não tem política de privacidade.
2O que fazemos
O que entra no serviço
Segredos
Procuramos chaves no site publicado e no repositório e dizemos qual tem que sair do navegador.
Acesso aos dados
Lemos o RLS tabela por tabela e testamos com duas contas se uma vê o dado da outra.
Rotas e funções
Conferimos quais páginas e funções exigem login e se cada função checa quem chama.
LGPD e e-mail do domínio
Termos, privacidade e cookies contra o que o app coleta. SPF, DKIM e DMARC no domínio.
3Por onde começa
O diagnóstico mostra o que fazer no seu app.
R$ 398
Diagnóstico
Relatório em 2 dias úteis e conversa ao vivo. Abatido se você fechar o serviço em até 15 dias.
O serviço é orçado depois do diagnóstico, com escopo fechado. O prazo sai junto com o orçamento, depois do diagnóstico.
Não entra: teste de invasão, revisão de regra de negócio e parecer jurídico. O diagnóstico não abre os dados dos seus usuários.
Como é o diagnóstico →Perguntas frequentes
Perguntas frequentes
O Lovable já tem scanner de segurança. Preciso de outra revisão?
O scanner ajuda e deve rodar. A própria documentação do Lovable diz que as ferramentas não substituem uma revisão completa. O diagnóstico olha o que o scanner não alcança: se a regra de acesso faz sentido para o seu negócio, se as funções checam quem chama e o que a LGPD pede.
A chave do Supabase aparece no site. Isso é vazamento?
Depende da chave. A publicável (sb_publishable_ ou a antiga anon) foi feita para ficar no navegador, desde que todas as tabelas tenham RLS. A secreta (sb_secret_ ou a antiga service_role) passa por cima do RLS e nunca pode estar no site.
Depois da correção o app fica 100% seguro?
Não. O checkup e a correção reduzem o risco do seu app. Nenhum serviço zera o risco. O relatório mostra o estado do app nas datas da revisão.
Guias sobre o tema
Lovable é seguro? 7 pontos antes de usar dados reais
O Lovable verifica parte da segurança, mas a responsabilidade é sua. Veja os 7 pontos para conferir antes de abrir o app para clientes.
RLS no Supabase: como configurar e testar o seu app
Passo a passo para ligar o RLS no Supabase, escrever políticas por operação e testar com a chave pública se as tabelas do seu app estão protegidas.
Comece pelo diagnóstico.
O diagnóstico custa R$ 398, pagos por Pix. Entregamos o relatório em 2 dias úteis e apresentamos os resultados em reunião. O valor é abatido se você contratar o serviço em até 15 dias. Tudo o que configuramos fica no seu nome.
Reduz o risco, não o zera. Atendemos somente o dono do app, mediante comprovação.