Reeve Ist deine Bolt-App sicher?
Mit Bolt beschreibst du eine App und siehst zu, wie sie in Minuten gebaut und deployt wird. Das ist wirklich beeindruckend — aber ein schneller Build kann still und leise eine Einstellung oder einen Schlüssel ausliefern, den er nicht sollte, und aus dem Editor heraus würdest du es nie sehen.
Reeve prüft die häufigsten Probleme von außen, kostenlos, und erklärt in verständlichem Deutsch, was es findet. Keine Installation, kein Zugriff auf deine Konten — wir sehen uns nur an, was ohnehin öffentlich ist.
Füge den Link deiner App ein. Etwa 20 Sekunden. Sieh deine Note ohne Anmeldung.
Was bei einer Bolt-App tatsächlich schiefgehen kann
Nichts davon bedeutet, dass du etwas falsch gemacht hast — es sind die üblichen Nebenwirkungen von schnellem Bauen. Das ist einen Blick wert:
Ein geheimer Schlüssel, der im Browser landet (die VITE_-Falle)
Bolt-Apps werden meist mit Vite gebaut, das eine Regel hat, die Leute überrascht: Jede Einstellung, deren Name mit VITE_ beginnt, wird in den Code eingebacken, der im Browser deines Besuchers läuft — wo ihn jeder lesen kann. Nenne ein echtes Geheimnis VITE_IRGENDWAS, und es geht an die Öffentlichkeit. Manche Schlüssel sollen öffentlich sein (wie ein Supabase-„anon“-Schlüssel), was in Ordnung ist — Reeve unterscheidet die sicheren von den gefährlichen, also keine Fehlalarme.
Deine Datenbank offen gelassen (Supabase-RLS aus)
Bolt verbindet deine App oft mit Supabase für die Daten. Supabase hat einen Schalter namens Row Level Security (RLS), der entscheidet, wer jede Zeile lesen oder ändern darf. Ist er aus, können deine Tabellen von jedem lesbar — oder änderbar — sein, der die Adresse findet. Es ist das häufigste ernste Problem in KI-gebauten Apps, und es ist unsichtbar, wenn du nicht nachprüfst.
Eine offengelegte .env- oder Konfigurationsdatei
Die .env-Datei enthält die Schlüssel und Passwörter eines Projekts. Manchmal wird sie versehentlich zusammen mit der deployten App veröffentlicht. Ist sie von außen erreichbar, ist sie eine Abkürzung zu allem Sensiblen. Reeve prüft, ob deine still zugänglich ist.
Öffentlicher Dateispeicher
Wenn Leute Dateien in deine App hochladen, leben diese in Speicher-„Buckets“. Ein öffentlich gelassener Bucket bedeutet, dass jeder auflisten oder herunterladen kann, was drin ist — sodass ein privater Upload für alle sichtbar werden kann. Reeve prüft, ob deine Buckets auflistbar sind; es lädt nie die Dateien von jemandem herunter.
Source Maps eingeschaltet gelassen
Eine „Source Map“ ist eine Hilfsdatei, die den Original-Code deiner App offenlegt. Praktisch beim Bauen, aber wenn sie in die Produktion geht, gibt sie Fremden eine lesbare Karte davon, wie deine App funktioniert — was jede andere Tür leichter auffindbar macht. Geringe Dringlichkeit, aber es lohnt sich, aufzuräumen.
Fehlende Sicherheits-Header & offene Endpunkte
Kleine Einstellungen, die Browsern sagen, wie sie deine Besucher schützen sollen, plus ob deine Daten-Endpunkte jedem oder jeder Website antworten. Allein geringfügig; zusammen vergrößern sie die Lücke. Reeve markiert die, die fehlen.
Was Reeve ist — und was nicht
Reeve ist eine kostenlose, nur-lesende Prüfung von außen — wie ein Inspektor, der ums Gebäude geht und die Türen probiert. Sie ist schnell und fängt die häufigen, folgenreichen Fehler ab. Sie ist kein vollständiges Sicherheitsaudit, und eine saubere Note ist keine Garantie — sie bedeutet, dass die offensichtlichen Türen zu sind.
Bolt und StackBlitz verbessern laufend, was generiert wird, und wenn deine App Supabase nutzt, meldet Supabases eigener Berater Datenbankprobleme in seinem Dashboard. Beides hilft. Was Reeve ergänzt: Du lebst in Bolt, nicht in einem Dashboard, und diese Werkzeuge sprechen Entwickler. Reeve betrachtet deine ganze deployte App von außen — so, wie es ein Fremder täte — und sagt dir in Worten, mit denen du etwas anfangen kannst, was es findet. Und wenn du am liebsten nicht daran denken möchtest, können wir sie für dich im Blick behalten.
Willst du es erledigt, nicht nur geprüft?
Reeve Care behält deine App im Blick, sichert deine Daten und hilft dir, Dinge zu reparieren, wenn sie kaputtgehen — damit du weiterbauen kannst, statt dir Sorgen zu machen.
Mehr über Reeve Care erfahrenFragen, ehrlich beantwortet
Ist meine Bolt-App standardmäßig sicher?
Bolt gibt dir schnell eine funktionierende App, aber „standardmäßig sicher“ hängt davon ab, wie sie verdrahtet ist — besonders von deinen Umgebungsvariablen und, wenn du Supabase nutzt, deinen Datenbankregeln. Der einzige Weg, es zu wissen, ist zu prüfen, was tatsächlich offengelegt ist, und das macht Reeve kostenlos in etwa 20 Sekunden.
Warum ist mein API-Schlüssel in einer Bolt-App geleakt?
Meist, weil er in einer Einstellung gespeichert war, die mit VITE_ beginnt. Vite baut diese absichtlich ins Browser-Bundle ein, sodass jedes so benannte Geheimnis öffentlich wird. Reeve liest den geladenen Code deiner App, findet Schlüssel und sagt dir, welche sicher offenzulegen sind und welche auf den Server umziehen müssen.
Nutzt Bolt Supabase, und ist das sicher?
Bolt verbindet Apps häufig mit Supabase. Supabase ist sicher, wenn Row Level Security an ist und nur dein öffentlicher „anon“-Schlüssel im Frontend liegt. Ist RLS aus oder ein „service_role“-Schlüssel geleakt, können deine Daten offengelegt sein. Reeve prüft beides, ohne je deine tatsächlichen Daten zu lesen.
Ändert das Scannen meiner Bolt-App etwas?
Nein. Reeve sieht sich nur an, was von außen ohnehin öffentlich ist. Es loggt sich nie ein, ändert nie etwas und lädt nie deine Dateien herunter — nur lesend, wie das Prüfen, ob eine Tür abgeschlossen ist, ohne einzutreten.
Woanders gebaut? Wir haben denselben ehrlichen Überblick für:
Automatisierte externe Prüfung, kein vollständiges Audit. Das Fehlen von Funden ist keine Garantie für Sicherheit.