Analise seu app Lovable antes que ele vaze.
O Lovable entrega apps funcionando rápido, e entrega junto um conjunto previsível de falhas de segurança. O VibeZero lê seu repositório em cinco camadas, diz se o app pode ser lançado com segurança e confirma cada correção com um reteste.
Os 3 primeiros scans são grátis, sem cartão. Você vê a pontuação de prontidão antes de pagar.
O que dá errado em apps Lovable
Tabelas Supabase com Row Level Security desligado
Quando o Lovable cria uma tabela, ele não ativa o RLS nem escreve uma política, então qualquer usuário autenticado lê e escreve todas as linhas que pertencem a todo mundo. Esse é o achado mais comum em apps Lovable. Uma má configuração de RLS divulgada no começo de 2025 expôs e-mails, chaves de API e dados de pagamento em mais de 170 projetos Lovable publicados.
Chaves service-role embutidas no navegador
O código gerado chama APIs de terceiros direto do cliente em vez de passar por um backend, então o segredo termina no bundle JavaScript, onde qualquer um lê pelo DevTools. Bots que coletam credenciais acham chaves num bundle público poucas horas depois do deploy.
Rotas que autenticam mas nunca autorizam
O Lovable adiciona login de forma confiável. Ele é bem menos confiável em checar se o usuário logado pode mexer no registro específico que pediu, o que transforma qualquer conta válida numa leitura da tabela inteira.
Dependências travadas no que era atual na geração
O lockfile congela no momento em que o app foi gerado e nada o atualiza depois, então CVEs conhecidos se acumulam em silêncio enquanto o app continua funcionando perfeitamente.
A correção costuma ser uma Edge Function, não uma reescrita
A maioria dos achados do Lovable se resume a poucas causas raiz: ativar o RLS e escrever a política, mover a chamada de terceiro para uma Supabase Edge Function que guarda o segredo, de modo que o navegador só veja a chave anon, e adicionar a checagem de propriedade que a rota gerada pulou. O VibeZero escreve cada uma dessas como uma tarefa de correção com os arquivos afetados e os critérios de aceite anexados, pronta para o agente que construiu o app em primeiro lugar.
A maioria dos scanners de vibe coding só recebe a sua URL.
Sondar um app publicado por fora encontra o que por acaso estava acessível naquele minuto. Não dá para ler a política que você nunca escreveu, a chave parada no seu histórico do git ou o CVE três níveis abaixo no seu lockfile. O VibeZero conecta no repositório, analisa as cinco camadas e então pontua a release.
- Código
OpenGrep em toda linguagem que detectamos, mais Bandit, gosec e ESLint-security onde se aplicam.
- Dependências
OSV-Scanner e Grype nos seus lockfiles, para um CVE transitivo não se esconder.
- Segredos
Gitleaks e TruffleHog na árvore de trabalho e no histórico do git por trás dela.
- Configuração
Scanners de má configuração do Trivy na sua infra, políticas de banco e ajustes de deploy.
- App no ar
Verificações ao vivo na sua URL publicada, depois que você provar que ela é sua.