Reeve ¿Es segura tu app de Lovable?
Lovable hace maravillosamente fácil crear y publicar una app real sin escribir código. Pero esa misma rapidez puede dejar en silencio una puerta o dos abiertas — y desde dentro normalmente no tienes forma de saberlo.
Reeve comprueba las puertas más comunes desde fuera, gratis, y explica lo que encuentra en lenguaje claro. Sin instalación, sin acceso a tus cuentas — solo miramos lo que ya es público, las mismas cosas que cualquiera en internet podría ver.
Pega el enlace de tu app. Unos 20 segundos. Ve tu nota sin registrarte.
Qué puede salir mal de verdad con una app de Lovable
Nada de esto significa que hayas hecho algo mal. Son los efectos secundarios normales de construir rápido. Estos son los que vale la pena comprobar:
Una clave secreta enviada al navegador
Una «clave secreta» es la contraseña maestra de un servicio que usas — tu base de datos, una herramienta de correo, una API de IA. Se supone que vive en un servidor. A veces una se cuela en el código que se ejecuta en el navegador de tu visitante, donde cualquiera puede leerla, y alguien podría usarla para llegar a tus datos o generar gastos a tu nombre. El matiz: algunas claves se supone que deben ser públicas (Lovable y Supabase las llaman claves «publishable» o «anon») — esas están bien. Reeve conoce la diferencia, así que una clave segura nunca dispara una falsa alarma.
Tu base de datos abierta (RLS de Supabase desactivado)
Las apps de Lovable suelen guardar los datos en Supabase. Supabase tiene un interruptor de seguridad llamado Row Level Security (RLS) que decide quién puede leer o cambiar cada fila. Si está desactivado, tus tablas pueden ser legibles — o editables — por cualquiera que encuentre la dirección. Es la diferencia entre «mis datos son míos» y «mi lista de clientes es pública», y es el problema más común en apps hechas con vibe coding.
Un archivo .env o de configuración expuesto
El archivo .env es donde un proyecto guarda sus contraseñas y claves. De vez en cuando se publica por error junto con la app. Si es accesible, es un atajo directo a todo lo sensible. Reeve comprueba si el tuyo está accesible sin que lo sepas.
Almacenamiento de archivos público
Si tu app permite subir archivos — fotos, PDF — estos viven en «buckets» de almacenamiento. Un bucket dejado público significa que cualquiera puede navegar o descargar lo que hay dentro, así que una subida pensada para una persona puede acabar visible para todos. Reeve comprueba si tus buckets son listables; nunca descarga los archivos de nadie.
Source maps dejados activos
Un «source map» es un archivo entre bastidores que revela el código original de tu app. Útil mientras construyes, pero si llega a producción entrega a extraños una copia legible de cómo funciona tu app — lo que hace más fácil de encontrar cada puerta de arriba. No es urgente por sí solo, pero conviene ordenarlo.
Cabeceras de seguridad ausentes y endpoints abiertos
Pequeños ajustes que le dicen a los navegadores cómo proteger a tus visitantes, más si los endpoints de datos de tu app responden a cualquiera o a cualquier sitio. Individualmente menores; juntos amplían la brecha. Reeve señala los que faltan.
Qué es Reeve — y qué no
Reeve es una comprobación gratuita, de solo lectura y desde fuera — como un inspector que rodea el edificio y prueba las puertas. Es rápida y detecta los errores comunes de alto impacto. No es una auditoría de seguridad completa, y una nota limpia no es garantía — significa que las puertas obvias están cerradas.
Lovable es una herramienta capaz, y su equipo añade sin parar barandillas de seguridad; Supabase también tiene un asesor integrado que señala problemas de RLS en su panel. Ambos son de verdad útiles. Lo que Reeve añade: tú vives en Lovable, no en la consola de Supabase, y esas herramientas hablan en lenguaje de desarrollador. Reeve mira toda tu app desde fuera — como lo haría un extraño — y te dice lo que encuentra en palabras con las que puedes actuar. Y si prefieres no pensar en ello en absoluto, podemos vigilarla por ti.
¿Quieres que se gestione, no solo que se compruebe?
Reeve Care sigue vigilando tu app, respalda tus datos y te ayuda a arreglar cosas cuando se rompen — para que puedas seguir creando en vez de preocuparte.
Conoce Reeve CarePreguntas, respondidas con honestidad
¿Mi app de Lovable es segura por defecto?
Lovable te da un punto de partida sólido y mejora sin parar sus ajustes por defecto, pero «seguro por defecto» aún depende de cómo esté configurada tu app — especialmente de las reglas de tu base de datos en Supabase. La única forma de saberlo es comprobar qué está realmente expuesto, que es lo que hace el análisis gratuito de Reeve en unos 20 segundos.
¿Puede una app de Lovable filtrar mis claves de API?
Puede pasar — normalmente cuando una clave que corresponde a un servidor acaba en el código del front-end. Pero no toda clave es un problema: algunas están diseñadas para ser públicas. Reeve lee el código cargado de tu app, encuentra todas las claves y te dice cuáles son seguras y cuáles deben moverse.
¿Qué es el RLS de Supabase y por qué importa para mi app de Lovable?
El RLS (Row Level Security) es la regla de Supabase sobre quién puede ver o cambiar cada fila de tus datos. Si está desactivado, tus tablas pueden estar abiertas para cualquiera. Como la mayoría de las apps de Lovable usan Supabase, es lo más importante que hay que acertar — y Reeve lo comprueba sin leer nunca tus datos reales.
¿Analizar mi app de Lovable romperá algo o cambiará mis datos?
No. Reeve solo mira lo que ya es público desde fuera. Nunca inicia sesión, nunca cambia nada y nunca descarga tus archivos — solo lectura, como comprobar si una puerta está cerrada sin entrar.
¿La creaste en otro sitio? Tenemos el mismo repaso honesto para:
Comprobación externa automatizada, no una auditoría completa. La ausencia de hallazgos no es garantía de seguridad.