Qual builder de apps com IA é mais seguro? 30.998 apps testados

Você escolheu um builder antes de saber qualquer coisa sobre qualquer um deles. Talvez uma thread recomendasse um, talvez você tenha gostado da demo, talvez fosse o que seu amigo usava. E em algum momento desde então você viu alguém afirmar que justo o que você escolheu é o inseguro, e se perguntou se o builder de apps com IA mais seguro era outro esse tempo todo.

Então medimos. Em agosto de 2026 escaneamos 30.998 apps no ar publicados pelo Lovable, Base44, Replit, v0 e Bolt, e rodamos as mesmas nove verificações externas em cada um deles.

Esta é a parte que os comparativos erram: o builder que você escolheu quase nunca é o que decide se seu app está exposto. Os cinco voltaram entre 99% e 100% com pelo menos um achado. As diferenças reais entre eles são grandes, e são diferenças de padrão de fábrica em vez de segurança.

Qual builder de apps com IA é mais seguro?

Nenhum, e o ranking que você procura não existe.

Todo builder deste escaneamento produziu apps com achados, em ritmo parecido, porque o achado mais comum é definido pela hospedagem e não por quem construiu o app. Abaixo dessa manchete os builders se separam bastante, mas se separam em coisas como se seu código-fonte é publicado junto com seu app, não em se um estranho consegue ler seus usuários.

O que separa um A de um D é algo que você fez depois de escolher o builder. Geralmente é uma decisão: você conectou um banco de dados.

O que medimos

As mesmas nove verificações que rodaríamos no seu app, lidas de fora, sem login e sem acesso à conta de ninguém.

Escaneamos cada app entre 12 e 14 de agosto de 2026, e 30.998 deles deram um resultado que conseguimos classificar. Toda porcentagem abaixo é uma fatia dos apps em que aquela verificação de fato respondeu, nunca uma fatia de tudo o que escaneamos. Uma verificação que não conseguiu concluir fica registrada como desconhecida, não como aprovada, e é por isso que os denominadores mudam nas tabelas. O método completo e os dados por trás estão no relatório.

Duas coisas que não fizemos. Não entramos em lugar nenhum e não lemos as linhas de ninguém: onde uma tabela respondeu, perguntamos ao banco quantas linhas ele entregaria e paramos ali. Nenhum app é citado pelo nome aqui nem em nada que publicamos.

Todo builder está em 99%, e esse número diz menos do que parece

Porque quase tudo isso é um único achado, e esse achado é da plataforma.

Cabeçalhos de segurança ausentes apareceram em 18.539 de 18.554 apps do Lovable, nos 5.438 apps do Base44, em 1.790 de 1.790 do v0, em 1.121 de 1.123 do Bolt e em 2.924 de 3.042 do Replit. Cabeçalhos são enviados por quem serve seu app, então no domínio de um builder eles são uma propriedade daquele domínio e idênticos em todo app que está ali.

É um achado real e vale fechar quando você for para seu próprio domínio. Mas é a linha menos urgente de um relatório, e é a maior parte do que a frase "99% dos apps têm um problema" está contando.

A diferença real entre builders são os padrões de fábrica

Cada builder entrega um conjunto diferente de padrões, e eles aparecem em quase todo app que ele faz.

A coluna de source maps é a que precisa ser lida com cuidado, porque no Base44 ela não mede a mesma coisa que nas outras quatro. Reabrimos 30 apps do Base44 marcados em setembro: em 27, o único mapa que respondia era /static/js/badge.js.map, o do script de selo do Base44, e em nenhum dos 30 havia mapa cobrindo os arquivos do dono. Então esses 59% são uma plataforma publicando um arquivo dela mesma em cada app que hospeda, e não 3.229 donos perdendo o próprio código. No Lovable, no Replit e no Bolt a mesma coluna significa mesmo o código do dono, e é por isso que 1%, 6% e 59% não se leem de cima a baixo como um ranking. O que achamos dentro desses mapas do Base44 é o relato completo.

A coluna dos 99% é a de verdade, e também é obra do próprio Base44: a plataforma define o CORS para cada app que hospeda e não oferece ajuste por app. Código-fonte publicado quer dizer, quando é o seu, que os arquivos originais por trás do seu app dão para ler nas ferramentas de desenvolvedor do navegador. O que isso expõe e o que não expõe vale a leitura se você está numa das outras quatro.

A coluna das chaves secretas é a que todo mundo espera que domine, e ela não domina. Uma chave digna de menção apareceu em 4% a 7% dos apps em três dos cinco builders, e em nenhum dos apps do v0.

Se você quer a versão em linguagem simples para o builder que realmente usa, cada um tem sua página: Lovable, Base44, Replit, v0 e Bolt.

Ou pule a leitura: nossa verificação gratuita roda essas mesmas checagens no seu site no ar e diz em quais seu app tropeça. Uns 20 segundos, sem conta: verifique seu app.

O que decide mesmo um D ou um F

Um banco de dados, e o que você fez com ele.

O Lovable produziu 407 apps com nota D ou F em 18.554. O v0 não produziu nenhum em 1.790. Isso parece um veredito sobre os dois builders até você olhar o que esses apps são: 35% dos apps do Lovable citam um projeto de banco, contra mais ou menos 1% dos apps do v0.

As verificações que podem produzir um D ou um F são quase todas verificações de banco. Um app sem banco tem menos coisa que pode dar errado e menos coisa para olharmos. Então a linha do Lovable não está medindo um builder pior, está medindo um builder cujos usuários conectam bancos de dados, que é a maior parte do motivo pelo qual as pessoas o escolhem.

Dos 3.553 apps do Lovable cujo banco nos respondeu, 2.017 tinham pelo menos uma tabela que um estranho conseguia ler sem login. Esse é o achado para consertar primeiro, e ele não tem nada a ver com qual builder gerou sua interface.

É no Lovable que esse número é grande o bastante para merecer um artigo próprio: o que vimos em 18.554 aplicativos Lovable passa as mesmas nove verificações pela maior coorte que temos.

Por que não vamos fazer um ranking

Porque em três dos cinco não conseguimos verificar bancos suficientes para dizer qualquer coisa.

Esta é a parte dos dados que todo ranking deixa de fora:

Olhe a linha do Base44. Mais de um quarto dos apps dele cita um projeto de banco, e exatamente dois desses bancos chegaram a nos responder. Não vamos transformar dois apps numa taxa e colocá-la ao lado de um número construído sobre 3.553. E ninguém mais que escaneou de fora consegue fazer isso, diga o que disser a tabela comparativa dessa pessoa.

O que verificar no seu próprio app

Tudo isso dá para verificar na mão. Manter a resposta verdadeira mês que vem é a parte que não fica pronta, e é para isso que o Reeve Care existe: ele roda essas mesmas verificações num calendário e avisa quando uma resposta piora, e guarda cópias verificadas do seu banco fora da conta do seu provedor, para que exista algo para devolver. Essa segunda metade importa aqui porque só verificamos a leitura, e a mesma regra permissiva que deixa um estranho ler uma tabela costuma deixar ele escrever nela. O que ele vigia e quanto custa.

Se você prefere avançar com uma lista, a checklist de segurança de 10 minutos cobre o conjunto em linguagem simples.