Сканери безпеки для vibe coding у порівнянні, наш теж

Ви набрали «найкращий сканер безпеки для vibe coding» у пошуку, і перше порівняння, що повернулося, написав один із сканерів. Застереження там було, у рядку під таблицею.

Reeve — один із восьми інструментів нижче, тож ця сторінка має ту саму проблему. Reeve це безкоштовний сканер безпеки, який читає живу URL-адресу секунд за двадцять без облікового запису, і платна підписка, що далі наглядає за застосунком і тримає перевірену копію його бази даних. Що ми можемо зробити з цим конфліктом, це показати роботу. Кожен рядок прочитано на сайті самого продавця, спершу 7 вересня 2026 року і знову 5 листопада 2026 року, кожну ціну надруковано, зокрема нашу, нічого тут не є оплаченим розміщенням, а ближче до кінця стоїть розділ, що називає три роботи на цій сторінці, яких Reeve не виконує зовсім.

Ось що порівняння від виробників лишають поза кадром. Більшість цих інструментів читає ту саму поверхню. Вони завантажують ваш живий застосунок, забирають JavaScript, який він віддає браузеру, читають заголовки, що прийшли з ним, ставлять вашій базі даних питання, яке міг би поставити будь-який незнайомець, і записують, що відповіло. Сканування це та частина, яку вони мають спільною. Розділяють їх три питання:

1. Чи вміє він відрізнити ключ, якому місце у вашому застосунку, від того, якому не місце?
2. Чи каже він, коли перевірка не отримала відповіді?
3. Чи стається щось того дня, коли ваших даних справді не стало?

Який сканер безпеки для vibe coding найкращий?

Той, що вміє прочитати поверхню, на якій сидить ваша проблема. Це питання впорядковує список швидше за будь-який перелік функцій і ділить вісім інструментів на три групи, причому деякі тепер стоять у більш ніж одній.

Інструменти, яким ви даєте URL-адресу. LaunchGuard, Vibe App Scanner, VibeEval, SupaExplorer і Reeve. Ви вставляєте адресу, вони завантажують ваш застосунок так, як зробив би відвідувач, і за хвилину чи дві повертається звіт. Нічого встановлювати, нічого вашого підключати.

Інструменти, яким ви даєте свій код. CheckVibe читає живу URL-адресу, а ще читає репозиторій GitHub, якщо ви його під’єднаєте, а Vibe App Scanner тепер на платних планах переглядає репозиторій або ZIP вашого коду. Читання вихідного коду відповідає на питання, яких сканування URL поставити не може, і приносить власну сліпу зону, тому чого не бачить сканування URL варто прочитати, перш ніж платити за будь-що з двох.

Інструменти, яким ви даєте обліковий запис Supabase. Власний Security Advisor від Supabase живе у вашій панелі та читає конфігурацію проєкту. Supabomb це інструмент командного рядка з відкритим кодом, написаний для тих, хто робить це фахово. CheckVibe і SupaExplorer теж під’єднуються до проєкту Supabase, якщо ви його прив’яжете. Усі вони дістають зсередини облікового запису до речей, яких не бачить ніщо поставлене поза вашим застосунком.

Якщо ви на Supabase і жодного разу не відкривали Security Advisor, відкрийте його раніше, ніж платитимете комусь на цій сторінці. Він безкоштовний, працює сам і пише власникові проєкту, коли з’являється таблиця з вимкненим Row Level Security. Він також нікому тут не конкурент: він читає вашу конфігурацію, тоді як сканування читає, що ваша конфігурація робить незнайомцям, і ці двоє розходяться частіше, ніж будь-хто очікує.

Що насправді читає кожен сканер?

Шість із восьми працюють з URL-адресою. Інші два хочуть щось, для передання чого треба увійти, і це той стовпчик, який читають раніше за будь-який перелік функцій. Два стовпчики праворуч вирішують, чи зможете ви спробувати інструмент сьогодні зранку: чотири сканують узагалі без облікового запису, і три з тих чотирьох показують вам увесь звіт.

Кожен рядок прочитано на власних сторінках самого інструмента 7 вересня 2026 року і знову 5 листопада 2026 року. Двох інструментів із першої версії цієї сторінки більше немає. Сайт SafeToShip 4 і 5 листопада відповідав "This Deployment is paused by the owner", а Defencecore тепер продає тестування на проникнення й більше не пропонує свого продукту для Supabase. Це молода категорія, і сторінки рухаються, тож вважайте кожен рядок старішим за сайт, з якого він узятий.

Саме на цій таблиці більшість порівнянь спиняється, і це та частина, яка ці інструменти розділяє найменше.

Три питання, інструмент за інструментом

Reeve єдиний із восьми відповідає «так» на всі три. Ще двоє тепер відповідають на друге письмово, чого ми не знайшли в жодного, коли ця сторінка писалася.

«Його сторінка не каже» означає рівно це. Ми можемо читати те, що ці інструменти публікують про себе; звіту, який отримали б ви, ми побачити не можемо. Три розділи нижче пояснюють кожен стовпчик і дають вам спосіб перевірити це на власному застосунку: проскануйте його двома з цих інструментів і прочитайте два звіти поруч.

Чи відрізняє він безпечні ключі від небезпечних?

Reeve відрізняє, розкодовуючи ключ і читаючи роль, записану всередині. Ця одна здатність і є різницею між звітом, з яким можна щось зробити, і переліком із сорока пунктів, повз які ви вчитеся прокручувати.

Почніть з того, чому кількості так розходяться. Кількість перевірок це маркетингова цифра, а не вимірювання: CheckVibe рекламує понад сто, Reeve виконує дев’ять і публікує, як часто кожна з дев’яти взагалі спрацьовує на 30 998 застосунках. Довший перелік про той самий застосунок це довший перелік. Більша причина в тому, що деякі сканери вважають проблемою будь-який ключ, знайдений у вашому JavaScript, а деяким із тих ключів там і місце.

Вашому публічному ключу Supabase місце у вашому фронтенді. Ключу Stripe, що починається з pk_live_, теж. Обидва за задумом мандрують до кожного відвідувача, бо запит, який вони позначають, робиться з браузера відвідувача, і жоден із них сам собою нічого не надає. Які ключі безпечні у вашому фронтенді це та відмінність повністю.

7 вересня 2026 року головна сторінка VibeEval подавала "Stripe pk_live_ found in /assets/app.js" серед п’яти прикладів знахідок, позначене як CRIT. Це публічний ключ, у тому самому місці, де Stripe його публікує. Коли ми перечитали сторінку в листопаді, приклад уже зник, а звітів, які ці інструменти надсилають своїм справжнім клієнтам, ми не бачимо, тож читайте це як одну маркетингову сторінку, а не як вирок продукту. Це все одно чистий приклад того, що варто перевіряти, і шкода не в тому одному хибному рядку. Сканер, який дає вам критичну знахідку за те, що ви зробили правильно, привчає вас знизати плечима на наступній, а наступна вже справжня.

Старіший ключ Supabase це JWT, і його середня секція каже "role": "anon" або "role": "service_role" читабельним текстом. Reeve читає це слово. Публічний ключ у вашому бандлі повертається під заголовком, який каже, що це ви зробили правильно, і не коштує вам нічого, а ключ service_role у тому самому бандлі це найгірше, що сканер уміє знайти. У панелі Supabase ці два виглядають майже однаково й лежать поруч, і саме так копіюють не той.

Чи каже він, коли перевірка не отримала відповіді?

Reeve каже, саме цими словами. Перевірка закінчується трьома способами, і лише один із них є проходженням: вона щось знаходить, отримує чітке «ні» або не отримує нічого, бо запит вичерпав час, хост його відхилив чи сторінка так і не дозавантажилася. Це третє закінчення і є порожньою клітинкою праворуч на малюнку вище. Воно друкується як «Не вдалося перевірити» і лишає вашу оцінку в спокої.

Це найтихіша річ на сторінці й та, що вирішує, чи вартий звіт бодай чогось, бо зонд без відповіді виглядає точнісінько як зонд, що повернувся чистим, щойно хтось округлив його до галочки. Ви діяли б за цією галочкою. За нею немає нічого.

7 вересня 2026 року ми не знайшли тієї самої обіцянки на жодному з інших сайтів. На 5 листопада її давали двоє. Попередній перегляд Vibe App Scanner показує вам "checks that could not run", а методологія VibeEval дає кожному скануванню оцінку покриття й каже: "When upstream protection blocks our probes we say so." LaunchGuard каже це про одну річ, свої тести запису, які пропускаються й позначаються у звіті, коли ваша база не може підтвердити, що відкотить їх. В інших такого рядка ми не знайшли. Це не доказ, що вони округлюють, і це досі той рядок, який варто шукати, перш ніж повірити зеленому звіту про застосунок, який вам небайдужий.

Те саме правило керує числами, які Reeve публікує про всіх інших. Між 12 і 14 серпня 2026 року ми прогнали всі дев’ять перевірок по 30 998 живих vibe-coded застосунках, зроблених на Lovable, Bolt, v0, Cursor, Replit, Windsurf і Base44, випустили кожен агрегат під CC BY 4.0, щоб будь-хто міг ним скористатися, і записали, як часто спрацьовувала кожна перевірка, якої частки застосунків вона не досягла і як їх пораховано. Перевірка без відповіді сидить в окремому стовпчику, а не в чистій купі, тож ніщо на тій сторінці не роздуте зарахуванням мовчання за безпеку. Головна сторінка Vibe App Scanner веде лічильник своїх сканувань і вразливостей, які вони знайшли. Хоч яку цифру друкує інструмент, нашу теж, спитайте, як він порахував застосунки, до яких не дістався.

Що стається того дня, коли ваших даних не стало?

Нічого, у семи з восьми. Сканер знаходить відчинені двері. Він не скаже вам, хто вже крізь них пройшов, і не поверне таблицю, яку хтось спорожнив у вівторок.

Reeve Care це восьмий, і закрити цю прогалину і є причиною, чому ця компанія існує. Він знімає копії вашої бази Supabase за розкладом, відкриває кожну копію й перелічує її проти того, що зайшло, перш ніж копія зарахується як резервна, тримає їх поза вашим обліковим записом Supabase, тож призупинений проєкт чи вхід, який ви не можете відновити, лишає їх там, де вони є, і замінює ваші дані з однієї з них, коли ви попросите. Копію поточного стану знімають першою, перш ніж щось замінювати.

Ваші завантажені файли мандрують разом із рядками, щойно ви під’єднаєте облікові дані Storage, і це другий ключ, який просять окремо, і єдиний із тих, що тримає Reeve, здатний писати, бо Supabase не видає ключа лише на читання для файлів. Що саме це робить намальовано на сторінці резервних копій.

Supabase це єдине, що Care вміє копіювати, тож якщо ваші дані живуть у Firebase чи деінде, цей розділ вам не відкритий, і те, що Reeve має запропонувати, це половина зі скануванням. Vibe App Scanner і LaunchGuard обидва перевіряють правила безпеки Firebase, і це найближчий відповідник на цій сторінці.

Що ви отримуєте за місячну підписку?

В інших більше сканувань. У Reeve сканування плюс те, що стається після того, як одне з них щось знайшло.

Ці чужі цифри це те, що показували продавці 5 листопада 2026 року: CheckVibe $24, $49 або $99, Vibe App Scanner $29 або $49, VibeEval $25 поруч із перекресленими $49 і командним рівнем за $75, і SupaExplorer $9. LaunchGuard підписки не продає: його глибше сканування, виправлення й 30 днів нагляду це один платіж $19 за застосунок. Прочитайте поточну ціну на сторінці самого продавця, перш ніж щось купувати, і це стосується нашої теж, яка іноді нижча за прейскурантну цифру звідси й ніколи не вища.

Більшість платних планів тут можна спробувати, перш ніж вони щось спишуть. Reeve дає вам сім днів, VibeEval рекламує чотирнадцять без картки, а CheckVibe чотирнадцять із карткою. Vibe App Scanner і SupaExplorer натомість пропонують перше сканування безкоштовно.

З того останнього рядка випливають дві речі. Reeve Monitor коштує $12 на місяць за три застосунки, нижче за будь-яку підписку тут, окрім SupaExplorer, і це вся половина з наглядом: щогодинні пересканування, зонд доступності кожні 60 секунд, сповіщення, коли щось змінюється, і місячний звіт. А Reeve Care коштує $49 на місяць, тобто стільки, скільки беруть CheckVibe Pro і Vibe App Scanner Pro, і при цьому це єдина підписка на сторінці, яка ще й тримає перевірену копію вашої бази даних і повертає її на прохання. Вище Care Pro за $79 додає п’ять застосунків, копії двічі на добу та публічну сторінку стану, а Care Max за $139 знімає їх чотири рази на добу.

Де Reeve не є відповіддю

Три роботи на цій сторінці, яких Reeve не виконує зовсім.

• Читання вашого вихідного коду. CheckVibe це робить, якщо ви під’єднаєте GitHub, Vibe App Scanner на платних планах, а спеціалізовані сканери секретів для цієї роботи заходять глибше за всіх нас. Це також єдиний спосіб знайти ключ, який пішов із вашого застосунку місяці тому й досі сидить у його історії.
• Тестування застосунку під входом або записом у нього. VibeEval підтримує сканування з обліковими даними, а глибоке сканування Pro у Vibe App Scanner входить із тестовим обліковим записом, який ви йому дасте. Глибоке сканування LaunchGuard за $19 лишається ззовні, але пробує писати й видаляти через кожні відчинені двері, які знайде, і відкочує свої тестові записи. Reeve ніколи не входить, ніколи не пише й ніколи не завантажує жодного рядка, і саме це робить безпечним спрямувати його на продакшн-застосунок зі справжніми клієнтами, і це ж причина, чому помилка, яка показується лише користувачеві під входом, лишається для нього невидимою.
• Бути відкритим або керованим вашим агентом. Supabomb має відкритий код і написаний на Python. Vibe App Scanner публікує MCP-сервер, CheckVibe тягне свої знахідки в Claude чи Cursor, а advisor від Supabase доступний через власний MCP-сервер Supabase. Reeve не публікує ні свого коду, ні MCP-сервера.

Де Reeve є відповіддю: ваш застосунок живий, ви хочете знати, що він віддає незнайомцям просто зараз, нічого нікуди не під’єднуючи, ви хочете звіт, який скаже вам, що ви зробили правильно, так само чітко, як і те, що відкрите, і вам хотілося б, щоб хтось тримав перевірену копію вашої бази даних того дня, коли все піде не так.

Що ви віддаєте, коли інструмент читає ваш код?

Постійний доступ до всього в репозиторії, а це значно більша річ за застосунок.

Ваш репозиторій це не ваш застосунок. У ньому лежить кожен ключ, який ви колись закомітили й потім прибрали, файли seed і fixture зі схожими на справжні даними клієнтів, недороблена гілка, яку ніхто не викотив, і вказівки, які ви написали для свого ШІ-білдера. Останнє людей дивує. Ваш CLAUDE.md, ваші .cursorrules, ваш AGENTS.md, довгий промпт, що описує, як продукт має поводитися: це ваше продуктове мислення, відкритим текстом, усередині репозиторію. Сканування URL бачить застосунок, який бачать ваші відвідувачі. Під’єднання до репозиторію бачить усе це, і тепер копію тримає друга компанія.

Три речі, які варто перевірити, перш ніж такий доступ надати:

• Це постійний доступ, а не візит. GitHub App чи дозвіл OAuth працює далі, доки ви не підете його відкликати, тож він читає й те, що ви запушите наступного місяця. З’ясуйте, чи можна обмежити його одним репозиторієм, і знайдіть кнопку відкликання раніше, ніж вона знадобиться.
• Їхній витік стає вашим. Усе, що постачальник тримає про вас, стає відкритим тоді, коли відкритим стає він сам, тож спитайте, що він зберігає після сканування.
• Інструмент, який входить або пише, може щось змінити. Сканер, що веде браузер крізь ваш вхід, робить те саме, що робить користувач, на ваших живих даних. Прочитайте, що він обіцяє натискати, а чого ні. FAQ LaunchGuard це добрий зразок відповіді, яку варто шукати: він перевіряє, що тестові записи буде відкочено, перш ніж спробувати бодай один, і каже, що тригери бази можуть спрацювати навіть на відкоченому записі.

Це обмін, а не застереження. Сканер репозиторію знаходить ключ, який ви видалили у квітні, і ніщо з того, що читає ваш живий сайт, цього не зробить, тож якщо у вас саме це питання, доступ і є ціною відповіді.

Який із них вам обрати?

П’ять ситуацій, і дві з них закінчуються не нами.

• Ви хочете просто зараз і безкоштовно дізнатися, що ваш застосунок показує незнайомцеві. Сканування Reeve або LaunchGuard. Жоден із них не просить реєструватися, і обидва повертаються менш ніж за хвилину. SupaExplorer теж сканує без облікового запису.
• Ви на Supabase і жодного разу не відкривали Security Advisor. Спершу його, раніше за будь-що з ціною на цій сторінці. Він безкоштовний і читає те, чого не прочитає жодне сканування ззовні.
• Ви хочете, щоб прочитали ваш вихідний код або протестували застосунок під входом. CheckVibe або платний план Vibe App Scanner для репозиторію, VibeEval або Vibe App Scanner Pro для того, що за входом. Прочитайте розділ вище про те, чого цей доступ коштує, перш ніж його надавати.
• Ви хочете нагляд за застосунком і рахуєте кожну копійку. Reeve Monitor, $12 на місяць за три застосунки: щогодинні пересканування, зонд доступності кожні 60 секунд, сповіщення та місячний звіт, і жодних резервних копій.
• У вас справжні клієнти й нікого, хто виконуватиме відновлення під тиском. Reeve Care, $49 на місяць, тобто сканування, нагляд і перевірена копія вашої бази даних, яка повертається однією кнопкою. Якщо ваші дані не в Supabase, половина з копіями вас не стосується.

Що зробити цього тижня

Безкоштовне сканування безпеки від Reeve читає живу URL-адресу секунд за двадцять без облікового запису, оцінює знайдене й перелічує те, що ви зробили правильно, поруч із тим, що відкрите. Нагляд за застосунком далі починається від $12 на місяць, а резервні копії з відновленням в одну кнопку від $49; плани тут. Якщо ви радше спершу пройдетеся застосунком самі, десятихвилинний чекліст безпеки охоплює ту саму землю без інструмента посередині.