[{"data":1,"prerenderedAt":773},["ShallowReactive",2],{"blog-it-safest-ai-app-builder":3,"blog-index-it":533},{"id":4,"title":5,"body":6,"category":492,"cover":493,"coverAlt":494,"description":495,"draft":496,"extension":497,"faq":498,"image":514,"keywords":515,"meta":521,"navigation":522,"ogTitle":28,"path":523,"published":524,"seo":525,"stem":526,"tldr":527,"updated":531,"__hash__":532},"blog_it\u002Fblog\u002Fsafest-ai-app-builder.md","Qual è il builder di app con IA più sicuro? 30.998 app testate",{"type":7,"value":8,"toc":480},"minimark",[9,13,16,24,29,32,35,38,42,45,58,61,65,68,71,79,83,86,235,248,256,259,280,287,291,294,297,300,306,314,322,326,329,332,421,426,429,439,443,465,472],[10,11,12],"p",{},"Hai scelto un builder prima di sapere qualcosa di uno qualsiasi di loro. Forse un\nthread ne consigliava uno, forse ti è piaciuta la demo, forse era quello che\nusava un tuo amico. E a un certo punto, da allora, hai visto qualcuno sostenere\nche proprio quello che hai scelto è quello insicuro, e ti sei chiesto se il\nbuilder di app con IA più sicuro fosse uno degli altri fin dall'inizio.",[10,14,15],{},"Così l'abbiamo misurato. Ad agosto 2026 abbiamo scansionato 30.998 app online\npubblicate da Lovable, Base44, Replit, v0 e Bolt, e abbiamo fatto girare gli\nstessi nove controlli esterni su ognuna.",[10,17,18,19,23],{},"Ecco la parte che i confronti sbagliano: ",[20,21,22],"strong",{},"il builder che hai scelto non è quasi\nmai quello che decide se la tua app è esposta."," Tutti e cinque sono tornati tra\nil 99% e il 100% con almeno un rilievo. Le differenze vere tra loro sono ampie, e\nsono differenze di default più che di sicurezza.",[25,26,28],"h2",{"id":27},"qual-è-il-builder-di-app-con-ia-più-sicuro","Qual è il builder di app con IA più sicuro?",[10,30,31],{},"Nessuno, e la classifica che stai cercando non esiste.",[10,33,34],{},"Ogni builder di questa scansione ha prodotto app con rilievi, più o meno allo\nstesso ritmo, perché il rilievo più comune lo imposta l'hosting e non la persona\nche ha costruito l'app. Sotto quel titolo i builder divergono parecchio, ma\ndivergono su cose come se il tuo codice sorgente venga pubblicato insieme alla\ntua app, non su se uno sconosciuto possa leggere i tuoi utenti.",[10,36,37],{},"Quello che separa una A da una D è qualcosa che hai fatto dopo aver scelto il\nbuilder. Di solito è una decisione: hai collegato un database.",[25,39,41],{"id":40},"cosa-abbiamo-misurato","Cosa abbiamo misurato",[10,43,44],{},"Gli stessi nove controlli che faremmo girare sulla tua app, letti da fuori, senza\nlogin e senza accesso all'account di nessuno.",[10,46,47,48,51,52,57],{},"Abbiamo scansionato ogni app tra il 12 e il 14 agosto 2026, e 30.998 di esse\nhanno prodotto un risultato che siamo riusciti a classificare. Ogni percentuale\nqui sotto è una quota delle app su cui quel controllo ha davvero ",[20,49,50],{},"risposto",",\nmai una quota di tutto quello che abbiamo scansionato. Un controllo che non è\nriuscito a concludersi viene registrato come sconosciuto, non come superato, ed è\nper questo che i denominatori si muovono nelle tabelle. Il metodo completo e i\ndati alla base sono ",[53,54,56],"a",{"href":55},"\u002Fresearch\u002Fvibe-coded-app-security-2026","nel report",".",[10,59,60],{},"Due cose che non abbiamo fatto. Non abbiamo fatto login da nessuna parte e non\nabbiamo letto le righe di nessuno: dove una tabella ha risposto, abbiamo chiesto\nal database quante righe avrebbe consegnato e ci siamo fermati lì. Nessuna app è\nnominata qui né in nulla di quello che pubblichiamo.",[25,62,64],{"id":63},"ogni-builder-è-al-99-e-quel-numero-dice-meno-di-quanto-sembri","Ogni builder è al 99%, e quel numero dice meno di quanto sembri",[10,66,67],{},"Perché quasi tutto è un solo rilievo, e quel rilievo è della piattaforma.",[10,69,70],{},"Header di sicurezza mancanti sono comparsi su 18.539 app Lovable su 18.554, su\ntutte e 5.438 le app Base44, su 1.790 app v0 su 1.790, su 1.121 app Bolt su 1.123\ne su 2.924 app Replit su 3.042. Gli header li manda ciò che serve la tua app,\nquindi sul dominio di un builder sono una proprietà di quel dominio e identici su\nogni app che ci sta sopra.",[10,72,73,74,78],{},"È un rilievo reale e vale la pena chiuderlo quando passi al tuo dominio. Ma è la\n",[53,75,77],{"href":76},"\u002Fblog\u002Fmissing-security-headers","riga meno urgente di un report",", ed è la maggior\nparte di quello che la frase \"il 99% delle app ha un problema\" sta contando.",[25,80,82],{"id":81},"la-differenza-vera-tra-builder-sono-i-default","La differenza vera tra builder sono i default",[10,84,85],{},"Ogni builder consegna un insieme diverso di impostazioni di default, e quelle\ncompaiono in quasi ogni app che costruisce.",[87,88,89,118],"table",{},[90,91,92],"thead",{},[93,94,95,99,103,106,109,112,115],"tr",{},[96,97,98],"th",{},"Builder",[96,100,102],{"align":101},"right","App scansionate",[96,104,105],{"align":101},"Almeno un rilievo",[96,107,108],{"align":101},"Codice sorgente pubblicato",[96,110,111],{"align":101},"Rilievo cross-origin",[96,113,114],{"align":101},"Chiave segreta pubblicata",[96,116,117],{"align":101},"Voto D o F",[119,120,121,145,170,192,213],"tbody",{},[93,122,123,127,130,133,136,139,142],{},[124,125,126],"td",{},"Lovable",[124,128,129],{"align":101},"18.554",[124,131,132],{"align":101},"99%",[124,134,135],{"align":101},"225 su 18.553",[124,137,138],{"align":101},"8 su 18.518",[124,140,141],{"align":101},"822 (4%)",[124,143,144],{"align":101},"407",[93,146,147,150,153,156,159,164,167],{},[124,148,149],{},"Base44",[124,151,152],{"align":101},"5.438",[124,154,155],{"align":101},"100%",[124,157,158],{"align":101},"3.229 su 5.434 (59%)",[124,160,161],{"align":101},[20,162,163],{},"5.418 su 5.419 (99%)",[124,165,166],{"align":101},"103 (2%)",[124,168,169],{"align":101},"2",[93,171,172,175,178,180,183,186,189],{},[124,173,174],{},"Replit",[124,176,177],{"align":101},"3.042",[124,179,132],{"align":101},[124,181,182],{"align":101},"168 su 3.041 (6%)",[124,184,185],{"align":101},"1.129 su 3.037 (37%)",[124,187,188],{"align":101},"219 (7%)",[124,190,191],{"align":101},"9",[93,193,194,197,200,202,205,208,211],{},[124,195,196],{},"v0",[124,198,199],{"align":101},"1.790",[124,201,155],{"align":101},[124,203,204],{"align":101},"0 su 1.790",[124,206,207],{"align":101},"0 su 1.786",[124,209,210],{"align":101},"0",[124,212,210],{"align":101},[93,214,215,218,221,223,226,229,232],{},[124,216,217],{},"Bolt",[124,219,220],{"align":101},"1.123",[124,222,155],{"align":101},[124,224,225],{"align":101},"13 su 1.123",[124,227,228],{"align":101},"5 su 1.120",[124,230,231],{"align":101},"75 (7%)",[124,233,234],{"align":101},"15",[10,236,237,238,242,243,247],{},"La colonna delle source map è quella da leggere con attenzione, perché su Base44\nnon misura la stessa cosa che sulle altre quattro. A settembre abbiamo riaperto\n30 app Base44 segnalate: su 27 l'unica mappa che rispondeva era\n",[239,240,241],"code",{},"\u002Fstatic\u002Fjs\u002Fbadge.js.map",", quella dello script del badge di Base44, e su nessuna\ndelle 30 una mappa copriva i file del proprietario. Quel 59% è quindi una\npiattaforma che pubblica un proprio file su ogni app che ospita, non 3.229\nproprietari che perdono il codice. Su Lovable, Replit e Bolt la stessa colonna\nsignifica davvero il codice del proprietario, ed è per questo che 1%, 6% e 59%\nnon si leggono dall'alto in basso come una classifica.\n",[53,244,246],{"href":245},"\u002Fblog\u002Fbase44-source-maps","Cosa abbiamo trovato dentro quelle mappe Base44"," è il\nresoconto completo.",[10,249,250,251,255],{},"La colonna del 99% è quella vera, ed è anch'essa opera di Base44: la piattaforma\nimposta il CORS per ogni app che ospita e non offre alcuna impostazione per\nsingola app. Codice sorgente pubblicato significa, quando è il tuo, che i file\noriginali dietro la tua app sono leggibili dagli strumenti per sviluppatori del\nbrowser. ",[53,252,254],{"href":253},"\u002Fblog\u002Fsource-maps-exposed-in-production","Cosa espone e cosa no"," vale\nuna lettura se sei su una delle altre quattro.",[10,257,258],{},"La colonna delle chiavi segrete è quella che tutti si aspettano domini, e non\ndomina. Una chiave degna di nota è comparsa nel 4% al 7% delle app su tre dei\ncinque builder, e in nessuna delle app v0.",[10,260,261,262,265,266,269,270,265,273,276,277,57],{},"Se vuoi la versione in parole semplici per il builder che usi davvero, ognuno ha\nla sua pagina: ",[53,263,126],{"href":264},"\u002Fis-your-lovable-app-safe",",\n",[53,267,149],{"href":268},"\u002Fis-your-base44-app-safe",", ",[53,271,174],{"href":272},"\u002Fis-your-replit-app-safe",[53,274,196],{"href":275},"\u002Fis-your-v0-app-safe"," e ",[53,278,217],{"href":279},"\u002Fis-your-bolt-app-safe",[10,281,282,283,57],{},"Oppure salta la lettura: la nostra scansione gratuita fa girare questi stessi\ncontrolli sul tuo sito online e ti dice su quali la tua app inciampa. Circa 20\nsecondi, senza account: ",[53,284,286],{"href":285},"\u002F#scan","scansiona la tua app",[25,288,290],{"id":289},"cosa-decide-davvero-un-d-o-una-f","Cosa decide davvero un D o una F",[10,292,293],{},"Un database, e cosa ci hai fatto.",[10,295,296],{},"Lovable ha prodotto 407 app con voto D o F su 18.554. v0 non ne ha prodotta\nnessuna su 1.790. Sembra un verdetto sui due builder finché non guardi cosa sono\nquelle app: il 35% delle app Lovable nomina un progetto di database, contro circa\nl'1% delle app v0.",[10,298,299],{},"I controlli che possono produrre un D o una F sono quasi tutti controlli sul\ndatabase. Un'app senza database ha meno cose che possono andare storte e meno\ncose da guardare per noi. Quindi la riga di Lovable non sta misurando un builder\npeggiore, sta misurando un builder i cui utenti collegano database, che è gran\nparte del motivo per cui la gente lo sceglie.",[301,302],"diagram",{"alt":303,"caption":304,"src":305},"Due app disegnate una accanto all'altra come pannelli identici. Quella di sinistra contiene un solo blocco vuoto con tre spunte verdi sotto e la lettera A nell'angolo in alto. Quella di destra contiene lo stesso blocco e le stesse tre spunte, con una linea tratteggiata che scende verso un cilindro di database rosso e una croce rossa, e la lettera D nell'angolo in alto.","I controlli esterni escono identici su entrambe. Tutto quello che può produrre un voto serio vive nella parte che hai collegato tu.","\u002Fblog\u002Fsafest-ai-app-builder\u002Fwhere-a-grade-comes-from-1600x700.png",[10,307,308,309,313],{},"Delle 3.553 app Lovable il cui database ci ha risposto, 2.017 avevano almeno una\ntabella che uno sconosciuto poteva leggere senza login. Questo è\n",[53,310,312],{"href":311},"\u002Fblog\u002Fcan-anyone-read-your-supabase-database","il rilievo da sistemare per primo",",\ne non ha nulla a che vedere con quale builder ha generato la tua interfaccia.",[10,315,316,317,321],{},"È su Lovable che quel numero è abbastanza grande da meritare un articolo a sé:\n",[53,318,320],{"href":319},"\u002Fblog\u002Fis-lovable-safe","cosa abbiamo trovato in 18.554 app Lovable"," porta gli\nstessi nove controlli attraverso la coorte più grande che abbiamo.",[25,323,325],{"id":324},"perché-non-faremo-una-classifica","Perché non faremo una classifica",[10,327,328],{},"Perché per tre dei cinque non siamo riusciti a controllare abbastanza database\nper dire qualsiasi cosa.",[10,330,331],{},"Ecco la parte dei dati che ogni classifica lascia fuori:",[87,333,334,349],{},[90,335,336],{},[93,337,338,340,343,346],{},[96,339,98],{},[96,341,342],{"align":101},"Nomina un progetto di database",[96,344,345],{"align":101},"Database che ci hanno risposto",[96,347,348],{},"Aveva una tabella leggibile",[119,350,351,364,378,393,408],{},[93,352,353,355,358,361],{},[124,354,126],{},[124,356,357],{"align":101},"35%",[124,359,360],{"align":101},"3.553",[124,362,363],{},"2.017, ovvero il 57%",[93,365,366,368,371,375],{},[124,367,149],{},[124,369,370],{"align":101},"27%",[124,372,373],{"align":101},[20,374,169],{},[124,376,377],{},"2 dei 2 che abbiamo raggiunto",[93,379,380,382,385,390],{},[124,381,217],{},[124,383,384],{"align":101},"24%",[124,386,387],{"align":101},[20,388,389],{},"35",[124,391,392],{},"27 dei 35 che abbiamo raggiunto",[93,394,395,397,400,405],{},[124,396,174],{},[124,398,399],{"align":101},"1%",[124,401,402],{"align":101},[20,403,404],{},"5",[124,406,407],{},"4 dei 5 che abbiamo raggiunto",[93,409,410,412,414,418],{},[124,411,196],{},[124,413,399],{"align":101},[124,415,416],{"align":101},[20,417,210],{},[124,419,420],{},"niente da controllare",[301,422],{"alt":423,"caption":424,"src":425},"Cinque righe, ognuna aperta dal logo di un builder e dal numero delle sue app che abbiamo scansionato. Ogni riga disegna quelle app come una barra chiara con i database che ci hanno risposto riempiti in pieno. La parte piena di Lovable è un blocco largo che segna 3.553; quelle di Base44, Replit e Bolt sono fili che segnano 2, 5 e 35, e quella di v0 è un cerchio vuoto tratteggiato che segna 0.","La parte piena di ogni barra è quello che abbiamo potuto controllare davvero. Quattro delle cinque sono troppo sottili per reggere una percentuale.","\u002Fblog\u002Fsafest-ai-app-builder\u002Fwhat-we-could-check-1600x620.png",[10,427,428],{},"Guarda la riga di Base44. Più di un quarto delle sue app nomina un progetto di\ndatabase, ed esattamente due di quei database ci hanno mai risposto. Non\ntrasformeremo due app in un tasso per metterlo accanto a un numero costruito su\n3.553. E nemmeno chiunque altro abbia scansionato da fuori può farlo, checché ne\ndica la sua tabella comparativa.",[430,431,433],"callout",{"type":432},"warn",[10,434,435,438],{},[20,436,437],{},"Un controllo che non è riuscito a concludersi non è un controllo superato."," È\nla regola che decide quasi tutto quello che sta sopra, ed è quella che sparisce\nin silenzio appena una scansione diventa una classifica. Un'app che non siamo\nriusciti a raggiungere è sconosciuta. Un database che non ha mai risposto è\nsconosciuto. Contare l'uno o l'altro come pulito produce un grafico più ordinato\ne falso, ed è la cosa peggiore che un report di sicurezza possa fare a qualcuno\nche poi smette di preoccuparsi.",[25,440,442],{"id":441},"cosa-controllare-sulla-tua-app","Cosa controllare sulla tua app",[444,445,446],"key-takeaways",{},[447,448,449,453,456,459,462],"ul",{},[450,451,452],"li",{},"Smetti di cercare un builder più sicuro. Niente in questi dati giustifica uno spostamento, e spostarsi ricostruisce tutta la tua app per cambiare una riga per cui non sei mai stato valutato.",[450,454,455],{},"Parti dalle tue tabelle di database, qualunque builder tu abbia usato. Una tabella che uno sconosciuto può leggere è il rilievo che svuota un'app, ed è l'unica cosa qui che puoi sistemare solo tu.",[450,457,458],{},"Scopri se il tuo builder pubblica il tuo codice sorgente, e disattivalo se lo fa. È un'impostazione, e su una delle cinque piattaforme qui sopra è attiva di fabbrica per tre app su cinque.",[450,460,461],{},"Tratta il rilievo sugli header come manutenzione. È reale, riguarda quasi ogni app sul dominio di un builder, e non è quello che qualcuno userà contro di te.",[450,463,464],{},"Controlla qualsiasi chiave nel tuo codice pubblicato prima di preoccuparti del resto di questa pagina, perché quello è l'unico rilievo che sta già costando soldi mentre leggi.",[10,466,467,468,57],{},"Tutto questo si può controllare a mano. Tenere vera la risposta il mese prossimo\nè la parte che non resta fatta, ed è per questo che esiste Reeve Care: rifà\ngirare questi stessi controlli secondo un calendario e ti dice quando una\nrisposta peggiora, poi tiene copie verificate del tuo database fuori\ndall'account del tuo fornitore, così che ci sia qualcosa da rimettere. Quella\nseconda metà conta qui perché noi controlliamo sempre e solo la lettura, e la\nstessa regola permissiva che lascia uno sconosciuto leggere una tabella di solito\ngli lascia anche scriverci. ",[53,469,471],{"href":470},"\u002Fpricing","Cosa sorveglia e quanto costa",[10,473,474,475,479],{},"Se preferisci procedere con un elenco, la\n",[53,476,478],{"href":477},"\u002Fchecklist","checklist di sicurezza da 10 minuti"," copre tutto in parole semplici.",{"title":481,"searchDepth":482,"depth":482,"links":483},"",3,[484,486,487,488,489,490,491],{"id":27,"depth":485,"text":28},2,{"id":40,"depth":485,"text":41},{"id":63,"depth":485,"text":64},{"id":81,"depth":485,"text":82},{"id":289,"depth":485,"text":290},{"id":324,"depth":485,"text":325},{"id":441,"depth":485,"text":442},"Basi della sicurezza","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcover-1200x630.png","Cinque riquadri bianchi identici in fila su sfondo scuro, della stessa dimensione e ben distanziati, ognuno con il logo di un builder.","Qual è il builder di app con IA più sicuro? Abbiamo scansionato 30.998 app online di Lovable, Base44, Replit, v0 e Bolt. Non è il builder a decidere il voto.",false,"md",[499,502,505,508,511],{"q":500,"a":501},"Quale builder fa le app più sicure?","Nessuno, in modo misurabile. Su 30.998 app online, ogni builder che abbiamo scansionato è uscito tra il 99% e il 100% con almeno un rilievo, e il grosso sono header di sicurezza mancanti, impostati dall'hosting e non da te. Le differenze tra builder sono differenze di default: cosa viene pubblicato insieme alla tua app e come è configurata la connessione alla tua API. Nessuno di questi default produce un voto serio.",{"q":503,"a":504},"Conta davvero quale builder ho scelto?","Conta per quello che erediti il primo giorno, e molto poco per quello che succede dopo. Alcuni builder pubblicano il tuo codice sorgente con ogni app, altri no. Alcuni impostano di default una regola cross-origin spalancata, altri no. Vale la pena saperlo e quasi sempre vale la pena cambiarlo. Ma il rilievo che davvero costa i dati alle persone è una tabella di database leggibile, e la ottieni collegando un database e scrivendo una regola permissiva. Si può fare su qualsiasi builder.",{"q":506,"a":507},"Tutte le app del mio builder falliscono il controllo degli header. È colpa mia?","No, e di solito non puoi nemmeno cambiarlo da dentro il builder. Gli header di sicurezza li manda ciò che serve la tua app, quindi su un dominio del builder sono il default della piattaforma e identici su ogni app che ci sta sopra. È esattamente per questo che il numero è 99% o 100% per tutti e cinque. Ed è per lo stesso motivo la riga meno urgente di un report: è reale, vale la pena chiuderla quando passi al tuo dominio, e non dice nulla su quanto sia facile arrivare ai tuoi dati.",{"q":509,"a":510},"v0 ha zero app con voto D o F. Questo lo rende il più sicuro?","Lo rende quello con meno database collegati. Solo circa l'1% delle app v0 che abbiamo scansionato nominava un progetto di database, contro il 35% delle app Lovable, e i controlli che producono un D o una F sono controlli sul database. Un'app senza database ha meno cose che possono andare storte e meno cose che possiamo guardare. Leggi quella riga come un'informazione su cosa sono quelle app, non su quanto bene il builder le protegga.",{"q":512,"a":513},"Dovrei spostare la mia app su un altro builder per renderla più sicura?","No. Spostarsi significa ricostruire tutto e non cambia quasi nulla di questo elenco, perché i rilievi che contano vivono nei servizi che hai collegato e non nel builder che ha generato il tuo codice. I due che valgono la pena sono le regole sulle tue tabelle e qualsiasi chiave segreta ferma nel tuo codice pubblicato. Entrambi ti seguono su qualunque builder, ed entrambi si sistemano dove sei già.","\u002Fblog\u002Fsafest-ai-app-builder\u002Fcard-800x500.png",[516,517,518,519,520],"builder di app con ia più sicuro","qual è il builder di app con ia più sicuro","confronto sicurezza builder ia","lovable vs bolt sicurezza","le app fatte con ia sono sicure",{},true,"\u002Fblog\u002Fsafest-ai-app-builder","2026-09-11",{"title":5,"description":495},"blog\u002Fsafest-ai-app-builder",[528,529,530],"Non esiste un builder di app con IA più sicuro. Tutti e cinque quelli che abbiamo scansionato stanno tra il 99% e il 100% con almeno un rilievo, e quasi tutto è un header del browser impostato dal loro hosting.","Quello che cambia tra i builder sono le impostazioni di default, e le distanze sono ampie. Le 3.229 source map di Base44 su 5.434 sono lo script del badge della piattaforma, non l'app di qualcuno; le 225 di Lovable su 18.553 sono codice del proprietario.","A decidere un voto serio non è il builder. È se hai collegato un database e lasciato una tabella leggibile.","2026-09-21","K1TWSbXPfxsnnoSxA8XU_q4HCCtgL6Uv7EnwAhWqxlc",[534,541,547,551,557,563,569,574,580,586,592,598,604,605,611,617,623,629,635,641,646,652,658,664,670,676,682,688,694,700,706,712,718,724,730,735,739,745,751,757,762,768],{"path":535,"title":536,"description":537,"published":538,"category":539,"image":540,"draft":496},"\u002Fblog\u002Fsupabase-backup-auth-users","Perché nel tuo dump Supabase non ci sono utenti","Lancia supabase db dump da solo e ottieni la forma del tuo database e nessuna delle sue righe, senza lo schema auth in cui vivono i tuoi utenti.","2026-09-23","Backups","\u002Fblog\u002Fsupabase-backup-auth-users\u002Fcard-800x500.png",{"path":542,"title":543,"description":544,"published":545,"category":492,"image":546,"draft":496},"\u002Fblog\u002Fdomain-and-certificate-expiry","Dominio scaduto, sito offline: cosa succede adesso","Il tuo dominio è scaduto e il sito è offline. Il conto alla rovescia che parte, perché il certificato è il problema minore, e come controllarli entrambi.","2026-09-22","\u002Fblog\u002Fdomain-and-certificate-expiry\u002Fcard-800x500.png",{"path":319,"title":548,"description":549,"published":531,"category":492,"image":550,"draft":496},"Lovable è sicuro? Cosa abbiamo trovato in 18.554 app Lovable","Lovable è sicuro? Abbiamo passato 18.554 app Lovable online per nove controlli. La piattaforma è risultata la più pulita di cinque. I rilievi stavano nelle app.","\u002Fblog\u002Fis-lovable-safe\u002Fcard-800x500.png",{"path":552,"title":553,"description":554,"published":555,"category":492,"image":556,"draft":496},"\u002Fblog\u002Fvibe-coded-app-security-checklist","La checklist di sicurezza del vibe coding, in nove controlli","Una checklist di sicurezza del vibe coding in nove voci, ognuna verificabile dall’esterno sulla tua app dal vivo, e ognuna con un test di una riga.","2026-09-20","\u002Fblog\u002Fvibe-coded-app-security-checklist\u002Fcard-800x500.png",{"path":558,"title":559,"description":560,"published":561,"category":492,"image":562,"draft":496},"\u002Fblog\u002Fstripe-secret-key-in-frontend","Una chiave segreta Stripe nel frontend può muovere denaro","Una chiave segreta Stripe esposta nel tuo frontend può rimborsare, addebitare e leggere ogni scheda cliente che hai. La tua chiave pk_live_ ci sta bene.","2026-09-19","\u002Fblog\u002Fstripe-secret-key-in-frontend\u002Fcard-800x500.png",{"path":564,"title":565,"description":566,"published":567,"category":492,"image":568,"draft":496},"\u002Fblog\u002Fvite-and-next-public-env-vars","Variabili d’ambiente Vite esposte: il prefisso vuol dire pubblica","Variabili d’ambiente Vite esposte: la tua app ha fatto ciò che il prefisso chiedeva. VITE_ e NEXT_PUBLIC_ vogliono dire pubblica, e l’IA non sapeva il costo.","2026-09-18","\u002Fblog\u002Fvite-and-next-public-env-vars\u002Fcard-800x500.png",{"path":245,"title":570,"description":571,"published":572,"category":492,"image":573,"draft":496},"Sicurezza Base44: cosa segnala uno scan e cosa tocca a te sistemare","Sicurezza Base44 su 5.438 app scansionate: tre segnalazioni su quasi tutte sono della piattaforma, la source map è il badge di Base44, la tua parte è corta.","2026-09-17","\u002Fblog\u002Fbase44-source-maps\u002Fcard-800x500.png",{"path":575,"title":576,"description":577,"published":578,"category":492,"image":579,"draft":496},"\u002Fblog\u002Fis-cursor-ai-safe","Cursor AI è sicuro? L’editor, il codice e l’app che hai pubblicato","Cursor AI è sicuro? Tre domande in una ricerca: cosa tiene Cursor, cosa sbaglia il codice che scrive, e se l’app che hai pubblicato è aperta.","2026-09-16","\u002Fblog\u002Fis-cursor-ai-safe\u002Fcard-800x500.png",{"path":581,"title":582,"description":583,"published":584,"category":492,"image":585,"draft":496},"\u002Fblog\u002Fis-replit-safe","Replit è sicuro? Cosa abbiamo trovato in 3.042 app Replit online","Replit è sicuro? Abbiamo passato 3.042 app Replit online per nove controlli esterni. I rilievi stavano nell’app pubblicata, non nell’host.","2026-09-15","\u002Fblog\u002Fis-replit-safe\u002Fcard-800x500.png",{"path":587,"title":588,"description":589,"published":590,"category":539,"image":591,"draft":496},"\u002Fblog\u002Fsupabase-storage-backup","Supabase storage backup: la copia del database non ha nessun file","Un Supabase storage backup è un lavoro a parte. I backup del database tengono la lista dei tuoi file e nessuno dei file, quindi ogni upload resta rotto.","2026-09-14","\u002Fblog\u002Fsupabase-storage-backup\u002Fcard-800x500.png",{"path":593,"title":594,"description":595,"published":596,"category":539,"image":597,"draft":496},"\u002Fblog\u002Fsupabase-point-in-time-recovery","Point-in-time recovery di Supabase: prezzo e limiti","Il point-in-time recovery di Supabase riavvolge il database a qualsiasi secondo della settimana scorsa. $100 al mese oltre a Pro, e copre solo il database.","2026-09-13","\u002Fblog\u002Fsupabase-point-in-time-recovery\u002Fcard-800x500.png",{"path":599,"title":600,"description":601,"published":602,"category":539,"image":603,"draft":496},"\u002Fblog\u002Fsupabase-project-paused-recover","Progetto Supabase in pausa? I tuoi dati sono ancora lì","Supabase ha messo in pausa il tuo progetto dopo una settimana senza attività. Non è cancellato niente, Ripristina è accanto al nome e hai un anno di tempo.","2026-09-12","\u002Fblog\u002Fsupabase-project-paused-recover\u002Fcard-800x500.png",{"path":523,"title":5,"description":495,"published":524,"category":492,"image":514,"draft":496},{"path":606,"title":607,"description":608,"published":609,"category":492,"image":610,"draft":496},"\u002Fblog\u002Fenable-rls-on-every-supabase-table","Attiva Row Level Security su ogni tabella Supabase, poi verificalo","Attivare Row Level Security su Supabase senza una policy chiude del tutto la tabella. Una policy senza il flag non fa nulla. Ecco lo SQL, e la verifica.","2026-09-10","\u002Fblog\u002Fenable-rls-on-every-supabase-table\u002Fcard-800x500.png",{"path":612,"title":613,"description":614,"published":615,"category":492,"image":616,"draft":496},"\u002Fblog\u002Fsupabase-rls-disabled-in-public","Supabase \"RLS disabled in public\": cosa non vede l'avviso","Supabase segnala \"RLS disabled in public\" come errore. Non dice nulla della policy di lettura che lascia la tua tabella altrettanto aperta.","2026-09-09","\u002Fblog\u002Fsupabase-rls-disabled-in-public\u002Fcard-800x500.png",{"path":618,"title":619,"description":620,"published":621,"category":492,"image":622,"draft":496},"\u002Fblog\u002Frotate-supabase-service-role-key","Come ruotare una chiave service_role Supabase trapelata","Supabase dice di chiudere prima la falla. Altre guide dicono di ruotare subito. Quale sia giusto dipende da dove è finita la tua chiave service_role.","2026-09-08","\u002Fblog\u002Frotate-supabase-service-role-key\u002Fcard-800x500.png",{"path":624,"title":625,"description":626,"published":627,"category":492,"image":628,"draft":496},"\u002Fblog\u002Fvibe-coding-security-scanners-compared","Scanner di sicurezza per vibe coding a confronto, il nostro incluso","Il miglior scanner di sicurezza per vibe coding dipende da tre domande che nessun elenco di funzioni affronta. Dieci strumenti a confronto, con i prezzi.","2026-09-07","\u002Fblog\u002Fvibe-coding-security-scanners-compared\u002Fcard-800x500.png",{"path":630,"title":631,"description":632,"published":633,"category":492,"image":634,"draft":496},"\u002Fblog\u002Fsupabase-security-checker","Supabase security checker: i cinque controlli da fare da soli","Un Supabase security checker legge la tua app pubblicata invece delle impostazioni del progetto. Ecco i cinque controlli che esegue e come farli da solo.","2026-09-06","\u002Fblog\u002Fsupabase-security-checker\u002Fcard-800x500.png",{"path":636,"title":637,"description":638,"published":639,"category":492,"image":640,"draft":496},"\u002Fblog\u002Fvibe-coding-security-scanner","Scanner di sicurezza per vibe coding: cosa si perde","Uno scanner di sicurezza per vibe coding legge la tua app dal vivo, da fuori. Cosa copre, le quattro cose che non può vedere e come leggere il risultato.","2026-09-05","\u002Fblog\u002Fvibe-coding-security-scanner\u002Fcard-800x500.png",{"path":76,"title":642,"description":643,"published":644,"category":492,"image":645,"draft":496},"Intestazioni di sicurezza mancanti: quando contano","Le intestazioni di sicurezza mancanti sono il rilievo che il nostro scanner stampa più spesso. Da cosa proteggono e quando sono la riga meno urgente.","2026-09-04","\u002Fblog\u002Fmissing-security-headers\u002Fcard-800x500.png",{"path":647,"title":648,"description":649,"published":650,"category":492,"image":651,"draft":496},"\u002Fblog\u002Fopenai-api-key-exposed-in-frontend","La tua chiave API OpenAI è esposta nel frontend. Ruotala.","Una chiave API OpenAI esposta nel frontend non si può legare a nessun dominio. Ruotala oggi, sposta la chiamata sul tuo server e metti un tetto di spesa.","2026-09-03","\u002Fblog\u002Fopenai-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":653,"title":654,"description":655,"published":656,"category":492,"image":657,"draft":496},"\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps","Chiave API esposta nel frontend: cosa spediscono 30.998 app","Una chiave API esposta nel tuo frontend è quasi sempre una chiave di Google Maps. Abbiamo scansionato 30.998 app vibe-coded e contato cosa esce davvero.","2026-09-02","\u002Fblog\u002Fwhat-secrets-leak-from-vibe-coded-apps\u002Fcard-800x500.png",{"path":659,"title":660,"description":661,"published":662,"category":539,"image":663,"draft":496},"\u002Fblog\u002Fsupabase-backup-tools-compared","Strumenti di backup Supabase a confronto, il nostro incluso","Quattro tipi di strumento di backup Supabase, cosa copia davvero ognuno, e il caso in cui una GitHub Action gratuita batte il pagare chiunque, noi inclusi.","2026-09-01","\u002Fblog\u002Fsupabase-backup-tools-compared\u002Fcard-800x500.png",{"path":665,"title":666,"description":667,"published":668,"category":492,"image":669,"draft":496},"\u002Fblog\u002Freplit-secrets-explained","Come usare i secret su Replit, e cosa viene comunque pubblicato","Come usare i secret su Replit: aggiungerne uno, rileggerlo e risolvere le due cause dell'undefined. E le chiavi che lo strumento non riesce a proteggere.","2026-08-31","\u002Fblog\u002Freplit-secrets-explained\u002Fcard-800x500.png",{"path":671,"title":672,"description":673,"published":674,"category":539,"image":675,"draft":496},"\u002Fblog\u002Fback-up-supabase-free-tier","Backup del piano gratuito Supabase: farne uno senza terminale","Sul piano gratuito Supabase non esistono backup: la copia la fai tu. Come farne uno dalla dashboard e che cosa si lascia dietro la via del CSV.","2026-08-30","\u002Fblog\u002Fback-up-supabase-free-tier\u002Fcard-800x500.png",{"path":677,"title":678,"description":679,"published":680,"category":492,"image":681,"draft":496},"\u002Fblog\u002Fis-supabase-secure","Supabase è sicuro? Sì. Il tuo progetto è un'altra questione","Supabase è sicuro? La piattaforma è certificata, cifrata e sottoposta a pentest. La loro documentazione dice dove finisce quello e iniziano le tue impostazioni.","2026-08-29","\u002Fblog\u002Fis-supabase-secure\u002Fcard-800x500.png",{"path":683,"title":684,"description":685,"published":686,"category":492,"image":687,"draft":496},"\u002Fblog\u002Fwhere-to-find-supabase-api-keys","Dove trovare le chiavi API di Supabase: anon, service_role e URL","L'URL del progetto, la chiave anon e la chiave service_role stanno su una pagina della dashboard. Ecco dove si trova e quale dei quattro va nella tua app.","2026-08-28","\u002Fblog\u002Fwhere-to-find-supabase-api-keys\u002Fcard-800x500.png",{"path":689,"title":690,"description":691,"published":692,"category":492,"image":693,"draft":496},"\u002Fblog\u002Fnew-row-violates-row-level-security-policy","New row violates row-level security policy su Supabase. E adesso?","\"New row violates row-level security policy\" significa che Supabase ha rifiutato una scrittura. La soluzione veloce riapre la tabella a chiunque.","2026-08-27","\u002Fblog\u002Fnew-row-violates-row-level-security-policy\u002Fcard-800x500.png",{"path":695,"title":696,"description":697,"published":698,"category":492,"image":699,"draft":496},"\u002Fblog\u002Fcors-wildcard-security-risk","Un wildcard CORS è un rischio di sicurezza? Quasi mai.","Un wildcard CORS è un rischio di sicurezza? Di solito è il valore predefinito del tuo builder e non consegna nulla che il tuo server non desse già a chiunque.","2026-08-26","\u002Fblog\u002Fcors-wildcard-security-risk\u002Fcard-800x500.png",{"path":701,"title":702,"description":703,"published":704,"category":539,"image":705,"draft":496},"\u002Fblog\u002Fsupabase-branching-is-not-a-backup","Il branching di Supabase non è un backup. Va solo in avanti.","Perché il branching di Supabase non è un backup: un branch parte senza i tuoi dati e un merge sposta solo lo schema. A cosa serve davvero e cosa usare invece.","2026-08-25","\u002Fblog\u002Fsupabase-branching-is-not-a-backup\u002Fcard-800x500.png",{"path":707,"title":708,"description":709,"published":710,"category":539,"image":711,"draft":496},"\u002Fblog\u002Fhow-to-restore-a-supabase-backup","Come ripristinare un backup Supabase, e cosa si rompe dopo","Come ripristinare un backup Supabase dalla dashboard o da un file di dump, che cosa sostituisce il ripristino e perché la tua app può restare rotta lo stesso.","2026-08-24","\u002Fblog\u002Fhow-to-restore-a-supabase-backup\u002Fcard-800x500.png",{"path":713,"title":714,"description":715,"published":716,"category":492,"image":717,"draft":496},"\u002Fblog\u002Fsupabase-storage-bucket-public","Il tuo bucket Supabase Storage è pubblico. È un problema?","Un bucket Supabase Storage pubblico significa che chi ha l'URL di un file può aprirlo. Non significa che qualcuno possa elencare quello che c'è dentro.","2026-08-23","\u002Fblog\u002Fsupabase-storage-bucket-public\u002Fcard-800x500.png",{"path":719,"title":720,"description":721,"published":722,"category":492,"image":723,"draft":496},"\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend","Una chiave API Google nel frontend è un problema?","Una chiave API Google esposta nel frontend è la chiave che il nostro scanner trova più spesso, e di solito va bene così. Lo decide una impostazione gratuita.","2026-08-22","\u002Fblog\u002Fgoogle-api-key-exposed-in-frontend\u002Fcard-800x500.png",{"path":725,"title":726,"description":727,"published":728,"category":539,"image":729,"draft":496},"\u002Fblog\u002Fai-agent-deleted-my-database","Un agente IA ha cancellato i miei dati Supabase. Cosa recupero?","Un agente IA ha cancellato dati dal tuo database. Quello che puoi recuperare era già deciso prima che partisse, e i prossimi minuti decidono il resto.","2026-08-21","\u002Fblog\u002Fai-agent-deleted-my-database\u002Fcard-800x500.png",{"path":311,"title":731,"description":732,"published":733,"category":492,"image":734,"draft":496},"Chiunque può leggere il tuo database Supabase? 3.680 app testate","Chiunque può leggere il tuo database Supabase senza fare login? Abbiamo scansionato 30.998 app online create con i builder IA e misurato quante rispondono sì.","2026-08-18","\u002Fblog\u002Fcan-anyone-read-your-supabase-database\u002Fcard-800x500.png",{"path":253,"title":736,"description":737,"published":733,"category":492,"image":738,"draft":496},"Source map esposte: la tua app sta pubblicando il codice originale","Una source map esposta permette a chiunque di leggere il codice originale della tua app, commenti inclusi. Il controllo da 30 secondi e cosa conta davvero.","\u002Fblog\u002Fsource-maps-exposed-in-production\u002Fcard-800x500.png",{"path":740,"title":741,"description":742,"published":743,"category":492,"image":744,"draft":496},"\u002Fblog\u002Fsupabase-new-api-keys","Le nuove chiavi API di Supabase: quale va nella tua app?","Supabase ha sostituito anon e service_role con chiavi pubblicabili e segrete. Quale sta bene nella tua app, e quale non deve starci mai?","2026-08-12","\u002Fblog\u002Fsupabase-new-api-keys\u002Fcard-800x500.png",{"path":746,"title":747,"description":748,"published":749,"category":539,"image":750,"draft":496},"\u002Fblog\u002Fdoes-supabase-back-up-my-database","Supabase fa il backup del mio database? Dipende dal tuo piano.","Supabase fa il backup del tuo database? Ogni giorno sui piani a pagamento, mai su quello gratuito. Come capire cosa hai e cosa quella copia non copre.","2026-08-11","\u002Fblog\u002Fdoes-supabase-back-up-my-database\u002Fcard-800x500.png",{"path":752,"title":753,"description":754,"published":755,"category":492,"image":756,"draft":496},"\u002Fblog\u002Fsupabase-rls-on-but-table-still-public","Supabase Row Level Security è attivo. La tabella resta pubblica.","Attivare Supabase Row Level Security non protegge una tabella. Lo fanno le policy, e quella che ha rimesso in piedi la tua app può far entrare chiunque.","2026-08-10","\u002Fblog\u002Fsupabase-rls-on-but-table-still-public\u002Fcard-800x500.png",{"path":758,"title":759,"description":760,"published":755,"category":539,"image":761,"draft":496},"\u002Fblog\u002Fversion-history-is-not-a-backup","La cronologia delle versioni non è un backup dei tuoi dati.","Lovable e Bolt tengono una cronologia delle versioni del codice. Il tuo database è un servizio a parte, e tornare indietro non ti restituisce i dati.","\u002Fblog\u002Fversion-history-is-not-a-backup\u002Fcard-800x500.png",{"path":763,"title":764,"description":765,"published":766,"category":539,"image":767,"draft":496},"\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database","Tre modi per fare il backup di un database Supabase, e cosa manca","Il pannello, pg_dump e un servizio gestito. Che cosa salva davvero ciascuno, cosa lascia fuori senza dirlo e quale sopravvive alla perdita dell'account.","2026-08-09","\u002Fblog\u002Fthree-ways-to-back-up-a-supabase-database\u002Fcard-800x500.png",{"path":769,"title":770,"description":771,"published":766,"category":492,"image":772,"draft":496},"\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend","Quali chiavi API sono sicure nel browser e quali no","La tua chiave anon di Supabase è fatta per essere pubblica. La chiave service_role no, e ignora ogni regola che imposti. Come distinguerle.","\u002Fblog\u002Fwhich-api-keys-are-safe-in-your-frontend\u002Fcard-800x500.png",1790150956057]