Scanne deine Bolt-App, bevor du sie auslieferst.
Bolt.new bringt dich mit einem einzigen Prompt zu einer laufenden App. Sicherheit ist nicht Teil dieses Prompts. VibeZero liest dein Bolt-Repository über fünf Ebenen, gibt eine Go/No-Go-Entscheidung zurück und verifiziert jeden Fix per Rescan.
Die ersten 3 Scans sind kostenlos, ohne Karte. Du siehst den Startreife-Score, bevor du zahlst.
Was in Bolt-Apps schiefgeht
API-Keys, fest ins Client-Bundle geschrieben
Bolt bindet Fremddienste auf dem kürzesten Weg an, den es gibt, und das heißt: der Key landet im Frontend-Quellcode. Es funktioniert sofort, es geht an jeden Besucher, und es ist der schnellste Weg, einen OpenAI- oder Stripe-Key zu verlieren.
Generierte API-Routen ganz ohne Auth-Prüfung
Ein Prompt, der einen Endpoint verlangt, bekommt einen Endpoint. Wenn du nicht im selben Satz nach Authentifizierung gefragt hast, ist die Route für jeden erreichbar, der den Pfad findet, und das Frontend ist das Einzige, was etwas anderes vorgibt.
Weit offenes CORS und fehlende Security-Header
Großzügige Voreinstellungen werden gewählt, weil sie die App während der Entwicklung zum Laufen bringen. Beim Deploy bleiben sie stehen, sodass jede Origin deine API aufrufen kann und die Schutzmechanismen, die dir der Browser sonst geschenkt hätte, abgeschaltet sind.
Die Paketversionen, die das Modell zufällig kannte
Generierte Manifeste greifen nach Versionen aus den Trainingsdaten des Modells, nicht nach dem aktuellen gepatchten Release, sodass ein frisches Bolt-Projekt sein Leben schon mit bekannten Schwachstellen beginnen kann.
Secrets auf den Server holen, dann die Routen absichern
Bolt-Befunde bündeln sich eng: jeden Key aus dem Client holen und hinter eine Server-Route oder ein Umgebungs-Secret legen, auf jedem generierten Endpoint eine echte Autorisierungsprüfung ergänzen, CORS auf die Origins verengen, die du wirklich bedienst, und die Pakete anheben, die verwundbar ausgeliefert wurden. VibeZero macht aus jedem Bündel eine Fix-Aufgabe mit Beleg und Abnahmekriterien, formatiert als Prompt, den du direkt an Bolt, Cursor oder Claude Code zurückgeben kannst.
Die meisten Vibe-Coding-Scanner bekommen nur deine URL.
Eine deployte App von außen abzuklopfen findet, was in dieser Minute zufällig erreichbar war. Es kann die Regel nicht lesen, die du nie geschrieben hast, den Key nicht sehen, der in deiner Git-Historie liegt, und das CVE nicht finden, das drei Ebenen tief im Lockfile steckt. VibeZero verbindet sich mit dem Repository, scannt alle fünf Ebenen und bewertet dann das Release.
- Code
OpenGrep über jede erkannte Sprache, dazu Bandit, gosec und ESLint-security, wo sie greifen.
- Dependencies
OSV-Scanner und Grype über deine Lockfiles, damit sich kein transitives CVE versteckt.
- Secrets
Gitleaks und TruffleHog über den Arbeitsbaum und die Git-Historie dahinter.
- Konfiguration
Trivys Fehlkonfigurations-Scanner über deine Infrastruktur, Datenbankregeln und Deploy-Einstellungen.
- Laufende App
Live-Prüfungen gegen deine deployte URL, sobald du nachgewiesen hast, dass sie dir gehört.