Salak Security
Ver relatórioFalar com especialista
Soluções

Segurança para apps feitos em Lovable, Bolt, Cursor e v0

Seu app funciona. Mas o banco está aberto? Em até 5 dias úteis você recebe as falhas críticas com prova e o caminho da correção.

Avaliar meu sistemaVer relatório de exemplo

Ferramentas de IA geram aplicações completas em horas, e quase sempre com Supabase ou Firebase por trás. O código de tela fica bom; o que costuma ficar para trás é o que não aparece na tela: as regras do banco, as chaves que vão para o navegador e as permissões que só existem no botão escondido.

O resultado é uma aplicação que parece segura para quem usa, mas que entrega os dados para quem abre o DevTools. A auditoria olha o app como esse atacante olharia: pelo pacote publicado, pela API do banco e pelas chamadas que cada tela faz.

O que testamos

10 verificações, cada uma com prova

Nenhum item é aprovado sem evidência: saída de ferramenta, requisição ou trecho de código.

  • Row Level Security em toda tabelaCada tabela do Supabase testada com a chave pública, sem login e com usuários de perfis diferentes.
  • Chave service_role e segredos no bundleO pacote JavaScript publicado é varrido em busca de chaves de administração e de APIs pagas (OpenAI, Stripe, e-mail).
  • Rotas protegidas só na telaTelas de administração escondidas no menu, mas cujas chamadas funcionam para qualquer usuário logado.
  • Acesso a dados de outro usuárioTroca de IDs nas chamadas para ver se um cliente lê ou altera registros de outro.
  • Cadastro e autenticaçãoCadastro aberto quando não deveria, confirmação de e-mail, reset de senha e sessão.
  • Buckets de arquivosStorage público com documentos que deveriam ser privados e uploads sem restrição de tipo.
  • Edge Functions e webhooksFunções chamáveis sem autenticação e webhooks que aceitam qualquer origem.
  • Realtime e viewsAssinaturas que transmitem mudanças de tabelas sensíveis e views que ignoram as políticas.
  • Limite de tentativasLogin, cupom, convite e envio de e-mail sem limite, abertos a força bruta e abuso de custo.
  • Build publicado e cabeçalhosSource maps no ar, variáveis de ambiente no pacote, CSP e cabeçalhos de segurança.
Exemplo de achado

Assim chega cada falha no relatório

Severidade, categoria OWASP e CWE, o caminho que o dado percorre até vazar, o impacto no negócio e a correção recomendada. O exemplo é fictício; o formato é o que você recebe.

Ver o relatório completo →
CríticaSEC-012 · exemploA01 · CWE-284

Tabela de pacientes legível sem login pela chave pública do banco

  1. 01Chave pública lida no bundle
  2. 02GET /rest/v1/pacientes?select=*
  3. 03Política de linha ausente
  4. 04200 OK · 1.284 registros
Impacto
Qualquer pessoa na internet lê nome, CPF e histórico de todos os pacientes. Dado de saúde é sensível pela LGPD (art. 11).
Correção recomendada
Ligar RLS na tabela, criar política que limita a leitura ao dono do registro e um teste que tenta ler sem login e precisa receber zero linhas.
Como funciona

Quatro passos, nenhum sem evidência

Ver o método completo →
  1. 01

    Escopo e autorização

    Termo assinado com sistemas, ambientes e limites, antes de qualquer teste.

  2. 02

    Inventário e testes

    Rotas, dados sensíveis e testes em staging com cada perfil de usuário.

  3. 03

    Correção pelo seu time

    Cada falha com correção recomendada e teste de regressão.

  4. 04

    Verificação independente

    Quem não participou reproduz, confirma e assina.

Oferta recomendada

Diagnóstico Express

O Diagnóstico Express foi desenhado para este caso: as falhas críticas de um app com Supabase ou Firebase em até 5 dias úteis, sem exigir acesso ao código.

a partir de, por aplicaçãoR$ 12.500até 5 dias úteisVer a oferta
Perguntas

Sobre apps feitos com IA

A correção é feita pelo seu time, com a correção recomendada e o teste de regressão que entregamos. Apoio na implementação é orçado à parte.

O Lovable é seguro?

A plataforma é. O app gerado nela pode não ser: as regras do banco, as chaves e as permissões dependem do que foi pedido e revisado. É onde encontramos com mais frequência tabela aberta e chave no navegador.

Preciso dar acesso ao código?

Não para o Diagnóstico Express: ele pode ser feito com a URL do app e usuários de teste de cada perfil. Com acesso de leitura ao repositório, a cobertura é maior.

A chave anon do Supabase aparece no navegador. Isso é grave?

Não por si só: ela foi feita para ser pública. O problema é quando as tabelas não têm RLS, porque aí essa chave lê tudo. Grave é a chave service_role no navegador.

Vocês corrigem as falhas?

Não executamos a correção. Entregamos a correção recomendada e o teste de regressão de cada falha para o seu time aplicar. Apoio na implementação é orçado à parte.

Funciona com Firebase?

Sim. No Firebase o equivalente ao RLS são as Security Rules do Firestore e do Storage, e o teste é o mesmo: ler e escrever sem permissão.

Guias relacionados
Guia · 7 minO Lovable é seguro?A plataforma é; seu app pode não ser. As 3 falhas que mais aparecem e como checar cada uma.Ler o guia →Guia · 9 minRLS no SupabaseO que é Row Level Security, como escrever políticas e como testar sem enganar a si mesmo.Ler o guia →
Contato comercial

Fale com um especialista em segurança

Agende uma conversa com o time. Sem formulário e sem espera: você escolhe o horário e chega com as suas dúvidas.

  • Escopo e preço antes de qualquer compromisso
  • Acordo de confidencialidade desde a primeira conversa
  • Atendimento em todo o Brasil
Conversa com especialistaTime de negócios · Salak Security
  1. 01Escolha um horário

    Direto na agenda do time de negócios, no dia que for melhor para você.

  2. 02Conte o que precisa avaliar

    Sistema, tecnologias, ambientes e o que mais preocupa hoje.

  3. 03Receba a proposta

    Escopo, prazo e preço em até um dia útil depois da conversa.

Escolher horário na agenda

Abre a agenda em uma nova aba.