Qual è il builder di app con IA più sicuro? 30.998 app testate

Hai scelto un builder prima di sapere qualcosa di uno qualsiasi di loro. Forse un thread ne consigliava uno, forse ti è piaciuta la demo, forse era quello che usava un tuo amico. E a un certo punto, da allora, hai visto qualcuno sostenere che proprio quello che hai scelto è quello insicuro, e ti sei chiesto se il builder di app con IA più sicuro fosse uno degli altri fin dall'inizio.

Così l'abbiamo misurato. Ad agosto 2026 abbiamo scansionato 30.998 app online pubblicate da Lovable, Base44, Replit, v0 e Bolt, e abbiamo fatto girare gli stessi nove controlli esterni su ognuna.

Ecco la parte che i confronti sbagliano: il builder che hai scelto non è quasi mai quello che decide se la tua app è esposta. Tutti e cinque sono tornati tra il 99% e il 100% con almeno un rilievo. Le differenze vere tra loro sono ampie, e sono differenze di default più che di sicurezza.

Qual è il builder di app con IA più sicuro?

Nessuno, e la classifica che stai cercando non esiste.

Ogni builder di questa scansione ha prodotto app con rilievi, più o meno allo stesso ritmo, perché il rilievo più comune lo imposta l'hosting e non la persona che ha costruito l'app. Sotto quel titolo i builder divergono parecchio, ma divergono su cose come se il tuo codice sorgente venga pubblicato insieme alla tua app, non su se uno sconosciuto possa leggere i tuoi utenti.

Quello che separa una A da una D è qualcosa che hai fatto dopo aver scelto il builder. Di solito è una decisione: hai collegato un database.

Cosa abbiamo misurato

Gli stessi nove controlli che faremmo girare sulla tua app, letti da fuori, senza login e senza accesso all'account di nessuno.

Abbiamo scansionato ogni app tra il 12 e il 14 agosto 2026, e 30.998 di esse hanno prodotto un risultato che siamo riusciti a classificare. Ogni percentuale qui sotto è una quota delle app su cui quel controllo ha davvero risposto, mai una quota di tutto quello che abbiamo scansionato. Un controllo che non è riuscito a concludersi viene registrato come sconosciuto, non come superato, ed è per questo che i denominatori si muovono nelle tabelle. Il metodo completo e i dati alla base sono nel report.

Due cose che non abbiamo fatto. Non abbiamo fatto login da nessuna parte e non abbiamo letto le righe di nessuno: dove una tabella ha risposto, abbiamo chiesto al database quante righe avrebbe consegnato e ci siamo fermati lì. Nessuna app è nominata qui né in nulla di quello che pubblichiamo.

Ogni builder è al 99%, e quel numero dice meno di quanto sembri

Perché quasi tutto è un solo rilievo, e quel rilievo è della piattaforma.

Header di sicurezza mancanti sono comparsi su 18.539 app Lovable su 18.554, su tutte e 5.438 le app Base44, su 1.790 app v0 su 1.790, su 1.121 app Bolt su 1.123 e su 2.924 app Replit su 3.042. Gli header li manda ciò che serve la tua app, quindi sul dominio di un builder sono una proprietà di quel dominio e identici su ogni app che ci sta sopra.

È un rilievo reale e vale la pena chiuderlo quando passi al tuo dominio. Ma è la riga meno urgente di un report, ed è la maggior parte di quello che la frase "il 99% delle app ha un problema" sta contando.

La differenza vera tra builder sono i default

Ogni builder consegna un insieme diverso di impostazioni di default, e quelle compaiono in quasi ogni app che costruisce.

La colonna delle source map è quella da leggere con attenzione, perché su Base44 non misura la stessa cosa che sulle altre quattro. A settembre abbiamo riaperto 30 app Base44 segnalate: su 27 l'unica mappa che rispondeva era /static/js/badge.js.map, quella dello script del badge di Base44, e su nessuna delle 30 una mappa copriva i file del proprietario. Quel 59% è quindi una piattaforma che pubblica un proprio file su ogni app che ospita, non 3.229 proprietari che perdono il codice. Su Lovable, Replit e Bolt la stessa colonna significa davvero il codice del proprietario, ed è per questo che 1%, 6% e 59% non si leggono dall'alto in basso come una classifica. Cosa abbiamo trovato dentro quelle mappe Base44 è il resoconto completo.

La colonna del 99% è quella vera, ed è anch'essa opera di Base44: la piattaforma imposta il CORS per ogni app che ospita e non offre alcuna impostazione per singola app. Codice sorgente pubblicato significa, quando è il tuo, che i file originali dietro la tua app sono leggibili dagli strumenti per sviluppatori del browser. Cosa espone e cosa no vale una lettura se sei su una delle altre quattro.

La colonna delle chiavi segrete è quella che tutti si aspettano domini, e non domina. Una chiave degna di nota è comparsa nel 4% al 7% delle app su tre dei cinque builder, e in nessuna delle app v0.

Se vuoi la versione in parole semplici per il builder che usi davvero, ognuno ha la sua pagina: Lovable, Base44, Replit, v0 e Bolt.

Oppure salta la lettura: la nostra scansione gratuita fa girare questi stessi controlli sul tuo sito online e ti dice su quali la tua app inciampa. Circa 20 secondi, senza account: scansiona la tua app.

Cosa decide davvero un D o una F

Un database, e cosa ci hai fatto.

Lovable ha prodotto 407 app con voto D o F su 18.554. v0 non ne ha prodotta nessuna su 1.790. Sembra un verdetto sui due builder finché non guardi cosa sono quelle app: il 35% delle app Lovable nomina un progetto di database, contro circa l'1% delle app v0.

I controlli che possono produrre un D o una F sono quasi tutti controlli sul database. Un'app senza database ha meno cose che possono andare storte e meno cose da guardare per noi. Quindi la riga di Lovable non sta misurando un builder peggiore, sta misurando un builder i cui utenti collegano database, che è gran parte del motivo per cui la gente lo sceglie.

Delle 3.553 app Lovable il cui database ci ha risposto, 2.017 avevano almeno una tabella che uno sconosciuto poteva leggere senza login. Questo è il rilievo da sistemare per primo, e non ha nulla a che vedere con quale builder ha generato la tua interfaccia.

È su Lovable che quel numero è abbastanza grande da meritare un articolo a sé: cosa abbiamo trovato in 18.554 app Lovable porta gli stessi nove controlli attraverso la coorte più grande che abbiamo.

Perché non faremo una classifica

Perché per tre dei cinque non siamo riusciti a controllare abbastanza database per dire qualsiasi cosa.

Ecco la parte dei dati che ogni classifica lascia fuori:

Guarda la riga di Base44. Più di un quarto delle sue app nomina un progetto di database, ed esattamente due di quei database ci hanno mai risposto. Non trasformeremo due app in un tasso per metterlo accanto a un numero costruito su 3.553. E nemmeno chiunque altro abbia scansionato da fuori può farlo, checché ne dica la sua tabella comparativa.

Cosa controllare sulla tua app

Tutto questo si può controllare a mano. Tenere vera la risposta il mese prossimo è la parte che non resta fatta, ed è per questo che esiste Reeve Care: rifà girare questi stessi controlli secondo un calendario e ti dice quando una risposta peggiora, poi tiene copie verificate del tuo database fuori dall'account del tuo fornitore, così che ci sia qualcosa da rimettere. Quella seconda metà conta qui perché noi controlliamo sempre e solo la lettura, e la stessa regola permissiva che lascia uno sconosciuto leggere una tabella di solito gli lascia anche scriverci. Cosa sorveglia e quanto costa.

Se preferisci procedere con un elenco, la checklist di sicurezza da 10 minuti copre tutto in parole semplici.