Reeve Ist deine Lovable-App sicher?
Lovable macht es wunderbar einfach, eine echte App zu bauen und zu veröffentlichen, ohne Code zu schreiben. Aber genau dieses Tempo kann still und leise die eine oder andere Tür offen lassen — und von innen hast du meist keine Möglichkeit, das zu erkennen.
Reeve prüft die häufigsten Türen von außen, kostenlos, und erklärt in verständlichem Deutsch, was es findet. Keine Installation, kein Zugriff auf deine Konten — wir sehen uns nur an, was ohnehin öffentlich ist, dieselben Dinge, die jeder im Internet sehen könnte.
Füge den Link deiner App ein. Etwa 20 Sekunden. Sieh deine Note ohne Anmeldung.
Was bei einer Lovable-App tatsächlich schiefgehen kann
Nichts davon bedeutet, dass du etwas falsch gemacht hast. Es sind die normalen Nebenwirkungen von schnellem Bauen. Hier die, die eine Prüfung wert sind:
Ein geheimer Schlüssel im Browser gelandet
Ein „geheimer Schlüssel“ ist das Master-Passwort für einen Dienst, den du nutzt — deine Datenbank, ein E-Mail-Tool, eine KI-API. Er soll auf einem Server leben. Manchmal rutscht einer in den Code, der im Browser deines Besuchers läuft, wo ihn jeder lesen kann, und jemand könnte ihn nutzen, um an deine Daten zu kommen oder in deinem Namen Kosten zu verursachen. Die Nuance: Manche Schlüssel sollen öffentlich sein (Lovable und Supabase nennen diese „publishable“- oder „anon“-Schlüssel) — die sind in Ordnung. Reeve kennt den Unterschied, sodass ein sicherer Schlüssel nie einen Fehlalarm auslöst.
Deine Datenbank offen gelassen (Supabase-RLS aus)
Lovable-Apps speichern Daten meist in Supabase. Supabase hat einen Sicherheitsschalter namens Row Level Security (RLS), der entscheidet, wer jede Zeile lesen oder ändern darf. Ist er aus, können deine Tabellen von jedem lesbar — oder änderbar — sein, der die Adresse findet. Das ist der Unterschied zwischen „meine Daten gehören mir“ und „meine Kundenliste ist öffentlich“, und es ist das häufigste Problem in Vibe-Coding-Apps.
Eine offengelegte .env- oder Konfigurationsdatei
Die .env-Datei ist der Ort, an dem ein Projekt seine Passwörter und Schlüssel aufbewahrt. Ab und zu wird sie versehentlich zusammen mit der App veröffentlicht. Ist sie erreichbar, ist sie eine Abkürzung direkt zu allem Sensiblen. Reeve prüft, ob deine still zugänglich ist.
Öffentlicher Dateispeicher
Wenn deine App Leuten erlaubt, Dateien hochzuladen — Fotos, PDFs — leben diese in Speicher-„Buckets“. Ein öffentlich gelassener Bucket bedeutet, dass jeder durchsehen oder herunterladen kann, was drin ist, sodass ein Upload, der für eine Person gedacht war, für alle sichtbar werden kann. Reeve prüft, ob deine Buckets auflistbar sind; es lädt nie die Dateien von jemandem herunter.
Source Maps eingeschaltet gelassen
Eine „Source Map“ ist eine Hintergrund-Datei, die den Original-Code deiner App offenlegt. Praktisch beim Bauen, aber wenn sie in die Produktion geht, gibt sie Fremden eine lesbare Kopie davon, wie deine App funktioniert — was jede Tür oben leichter auffindbar macht. Allein nicht dringend, aber es lohnt sich, aufzuräumen.
Fehlende Sicherheits-Header & offene Endpunkte
Kleine Einstellungen, die Browsern sagen, wie sie deine Besucher schützen sollen, plus ob die Daten-Endpunkte deiner App jedem oder jeder Website antworten. Einzeln geringfügig; zusammen vergrößern sie die Lücke. Reeve markiert die, die fehlen.
Was Reeve ist — und was nicht
Reeve ist eine kostenlose, nur-lesende Prüfung von außen — wie ein Hausinspektor, der ums Gebäude geht und die Türen probiert. Sie ist schnell und fängt die häufigen, folgenreichen Fehler ab. Sie ist kein vollständiges Sicherheitsaudit, und eine saubere Note ist keine Garantie — sie bedeutet, dass die offensichtlichen Türen zu sind.
Lovable ist ein starkes Werkzeug, und sein Team fügt laufend Sicherheits-Leitplanken hinzu; Supabase hat außerdem einen eingebauten Berater, der RLS-Probleme in seinem Dashboard meldet. Beides ist wirklich nützlich. Was Reeve ergänzt: Du lebst in Lovable, nicht in der Supabase-Konsole, und diese Werkzeuge sprechen Entwickler. Reeve betrachtet deine ganze App von außen — so, wie es ein Fremder täte — und sagt dir in Worten, mit denen du etwas anfangen kannst, was es findet. Und wenn du am liebsten gar nicht daran denken möchtest, können wir sie für dich im Blick behalten.
Willst du es erledigt, nicht nur geprüft?
Reeve Care behält deine App im Blick, sichert deine Daten und hilft dir, Dinge zu reparieren, wenn sie kaputtgehen — damit du weiterbauen kannst, statt dir Sorgen zu machen.
Mehr über Reeve Care erfahrenFragen, ehrlich beantwortet
Ist meine Lovable-App standardmäßig sicher?
Lovable gibt dir einen soliden Ausgangspunkt und verbessert seine Voreinstellungen laufend, aber „standardmäßig sicher“ hängt trotzdem davon ab, wie deine App eingerichtet ist — besonders von deinen Supabase-Datenbankregeln. Der einzige Weg, es zu wissen, ist zu prüfen, was tatsächlich offengelegt ist, und genau das macht Reeves kostenloser Scan in etwa 20 Sekunden.
Kann eine Lovable-App meine API-Schlüssel leaken?
Es kann passieren — meist, wenn ein Schlüssel, der auf einen Server gehört, im Frontend-Code landet. Aber nicht jeder Schlüssel ist ein Problem: Manche sind dafür gemacht, öffentlich zu sein. Reeve liest den geladenen Code deiner App, findet alle Schlüssel und sagt dir, welche sicher sind und welche umziehen müssen.
Was ist Supabase-RLS und warum ist es für meine Lovable-App wichtig?
RLS (Row Level Security) ist Supabases Regel dafür, wer jede Zeile deiner Daten sehen oder ändern darf. Ist sie aus, können deine Tabellen für jeden offen sein. Da die meisten Lovable-Apps Supabase nutzen, ist es das Wichtigste, das man richtig machen muss — und Reeve prüft es, ohne je deine tatsächlichen Daten zu lesen.
Bricht das Scannen meiner Lovable-App etwas oder ändert meine Daten?
Nein. Reeve sieht sich nur an, was von außen ohnehin öffentlich ist. Es loggt sich nie ein, ändert nie etwas und lädt nie deine Dateien herunter — nur lesend, wie das Prüfen, ob eine Tür abgeschlossen ist, ohne einzutreten.
Woanders gebaut? Wir haben denselben ehrlichen Überblick für:
Automatisierte externe Prüfung, kein vollständiges Audit. Das Fehlen von Funden ist keine Garantie für Sicherheit.