Reeve Seu app do Lovable é seguro?
O Lovable torna maravilhosamente fácil criar e publicar um app de verdade sem escrever código. Mas essa mesma rapidez pode deixar, sem alarde, uma porta ou duas abertas — e, por dentro, você normalmente não tem como saber.
O Reeve verifica as portas mais comuns por fora, de graça, e explica o que encontra em linguagem simples. Sem instalação, sem acesso às suas contas — só olhamos o que já é público, as mesmas coisas que qualquer pessoa na internet poderia ver.
Cole o link do seu app. Cerca de 20 segundos. Veja sua nota sem cadastro.
O que pode dar errado de verdade com um app do Lovable
Nada disso significa que você fez algo errado. São os efeitos colaterais normais de construir rápido. Aqui estão os que valem a conferida:
Uma chave secreta enviada para o navegador
Uma “chave secreta” é a senha mestra de um serviço que você usa — seu banco de dados, uma ferramenta de e-mail, uma API de IA. Ela deveria viver em um servidor. Às vezes uma escapa para o código que roda no navegador do seu visitante, onde qualquer um pode ler, e alguém poderia usá-la para chegar aos seus dados ou gerar custos em seu nome. A nuance: algumas chaves devem ser públicas (o Lovable e o Supabase as chamam de chaves “publishable” ou “anon”) — essas estão ok. O Reeve conhece a diferença, então uma chave segura nunca dispara um alarme falso.
Seu banco de dados deixado aberto (RLS do Supabase desligado)
Apps do Lovable geralmente guardam dados no Supabase. O Supabase tem uma chave de segurança chamada Row Level Security (RLS) que decide quem pode ler ou alterar cada linha. Se estiver desligada, suas tabelas podem ser legíveis — ou editáveis — por qualquer um que encontrar o endereço. É a diferença entre “meus dados são meus” e “minha lista de clientes é pública”, e é o problema mais comum em apps feitos com vibe coding.
Um arquivo .env ou de configuração exposto
O arquivo .env é onde um projeto guarda suas senhas e chaves. De vez em quando ele é publicado por engano junto com o app. Se estiver acessível, é um atalho direto para tudo o que é sensível. O Reeve verifica se o seu está acessível sem você saber.
Armazenamento de arquivos público
Se o seu app permite que as pessoas enviem arquivos — fotos, PDFs — eles vivem em “buckets” de armazenamento. Um bucket deixado público significa que qualquer um pode navegar ou baixar o que há dentro, então um envio destinado a uma pessoa pode acabar visível para todos. O Reeve verifica se os seus buckets são listáveis; ele nunca baixa os arquivos de ninguém.
Source maps deixados ligados
Um “source map” é um arquivo de bastidores que revela o código original do seu app. Útil durante o desenvolvimento, mas se for para produção entrega a estranhos uma cópia legível de como o seu app funciona — o que torna cada porta acima mais fácil de achar. Sozinho não é urgente, mas vale organizar.
Cabeçalhos de segurança ausentes e endpoints abertos
Pequenas configurações que dizem aos navegadores como proteger seus visitantes, além de se os endpoints de dados do seu app respondem a qualquer um ou a qualquer site. Individualmente pequenos; juntos, ampliam a brecha. O Reeve sinaliza os que estão faltando.
O que o Reeve é — e o que não é
O Reeve é uma verificação gratuita, somente leitura e por fora — como um inspetor que dá a volta no prédio e testa as portas. É rápida e pega os erros comuns de grande impacto. Não é uma auditoria de segurança completa, e uma nota limpa não é garantia — significa que as portas óbvias estão fechadas.
O Lovable é uma ferramenta capaz, e a equipe dele adiciona sem parar barreiras de segurança; o Supabase também tem um consultor embutido que sinaliza problemas de RLS no painel. Ambos são de fato úteis. O que o Reeve acrescenta: você vive no Lovable, não no console do Supabase, e essas ferramentas falam em linguagem de desenvolvedor. O Reeve olha o seu app inteiro por fora — do jeito que um estranho faria — e diz o que encontra em palavras com as quais você pode agir. E se você preferir nem pensar nisso, podemos monitorar para você.
Quer que seja resolvido, não só verificado?
O Reeve Care continua monitorando seu app, faz backup dos seus dados e ajuda você a corrigir as coisas quando quebram — para que você siga criando em vez de se preocupar.
Conheça o Reeve CarePerguntas, respondidas com honestidade
Meu app do Lovable é seguro por padrão?
O Lovable te dá um ponto de partida sólido e melhora sem parar os padrões dele, mas “seguro por padrão” ainda depende de como o seu app está configurado — especialmente das regras do seu banco de dados no Supabase. A única forma de saber é verificar o que está de fato exposto, e é isso que a verificação gratuita do Reeve faz em cerca de 20 segundos.
Um app do Lovable pode vazar minhas chaves de API?
Pode acontecer — normalmente quando uma chave que pertence a um servidor acaba no código do front-end. Mas nem toda chave é um problema: algumas são feitas para ser públicas. O Reeve lê o código carregado do seu app, encontra todas as chaves e diz quais são seguras e quais precisam ser movidas.
O que é o RLS do Supabase e por que importa para o meu app do Lovable?
O RLS (Row Level Security) é a regra do Supabase sobre quem pode ver ou alterar cada linha dos seus dados. Se estiver desligado, suas tabelas podem ficar abertas para qualquer um. Como a maioria dos apps do Lovable usa Supabase, é a coisa mais importante de acertar — e o Reeve verifica isso sem nunca ler seus dados reais.
Verificar meu app do Lovable vai quebrar algo ou mudar meus dados?
Não. O Reeve só olha o que já é público por fora. Ele nunca faz login, nunca muda nada e nunca baixa seus arquivos — somente leitura, como conferir se uma porta está trancada sem entrar.
Criou em outro lugar? Temos o mesmo resumo honesto para:
Verificação externa automatizada, não uma auditoria completa. A ausência de achados não é garantia de segurança.