Lovable lança Deploy on AWS: apps e dados passam a rodar na VPC do cliente

A Lovable liberou em preview fechado o modo Deploy on AWS: clientes corporativos agora podem executar os aplicativos criados na Lovable dentro da própria conta AWS. A construção do app continua no editor em nuvem da Lovable, mas o runtime, o banco de dados, o armazenamento e os logs migram para uma VPC dedicada do cliente. A Deutsche Telekom, primeira cliente enterprise global, colocou essa configuração em operação em outubro.

O que exatamente vai para a sua conta

Até agora, a resposta para a pergunta «onde o aplicativo roda e onde ficam os dados» era uma só: na infraestrutura da Lovable. Para a maioria das equipes, isso basta. Mas, se uma ferramenta interna precisa de dados de um sistema de RH ou de um data warehouse que, pela política da empresa, não saem do perímetro, o aplicativo não passa na revisão de segurança. O Deploy on AWS atende justamente esse cenário.

Na VPC do cliente, a Lovable implanta o seguinte conjunto:

• o data plane da Lovable em um cluster Amazon EKS, incluindo os sandboxes de preview, onde as builds são executadas durante as iterações;
• os aplicativos publicados: arquivos estáticos no Amazon S3, com as requisições dinâmicas tratadas pelo AWS Lambda;
• o banco de dados do aplicativo no Amazon Aurora PostgreSQL e o armazenamento de arquivos no S3;
• os logs dos aplicativos, que podem ser enviados ao S3, ao CloudWatch ou a outros sistemas do cliente;
• o gateway de conectores e os segredos das integrações.

O acesso a sistemas internos, como DWH ou CRM, é feito por VPC peering, de modo que esses sistemas não são expostos à internet pública. A Lovable se encarrega da instalação, da manutenção e das atualizações: a equipe do cliente não precisa administrar um cluster próprio.

Como funcionam a instalação e os acessos

O administrador cria um novo workspace Enterprise e escolhe a hospedagem na AWS. A Lovable gera um template do CloudFormation, que a equipe do cliente revisa e executa por conta própria. O stack cria a VPC, uma instância EC2 para o componente Lovable runner e as permissões de que ele precisa. Depois disso, o runner sobe sozinho o EKS, o Aurora, o S3 e os demais serviços.

O runner funciona como ferramenta de gerenciamento da instalação, e o cliente enxerga tudo o que ele faz. Há IAM roles separadas para a configuração, a manutenção do dia a dia e a desativação, ou seja, o princípio do menor privilégio vale em todas as etapas. O único host externo com o qual o runner se comunica é o endpoint dele na Lovable. Cada atualização dos componentes chega como um Helm chart versionado, com referências a imagens de contêiner assinadas no registry do cliente.

Os controles corporativos também valem nesse modo: SSO e SCIM, publicação restrita por padrão aos membros do workspace, verificação de segurança a cada build e logs de auditoria.

Onde fica a fronteira dos dados

Os dados dos aplicativos permanecem na VPC do cliente, sob a criptografia dele e as políticas de acesso da AWS. Os componentes na conta se conectam à Lovable de dentro para fora, por um túnel com mTLS, e a Lovable não precisa de nenhuma conexão de entrada na rede do cliente. O histórico de chats e de projetos fica do lado da Lovable, em formato criptografado. Com o bring your own key, o administrador conecta uma chave própria do AWS KMS nas configurações do workspace e pode revogar o acesso da Lovable a qualquer momento.

A fronteira, porém, não cobre o produto inteiro. No serviço multitenant da Lovable continuam o editor, o agente, o chat, o histórico de projetos, as configurações do workspace, a identificação e o billing. As requisições aos modelos de IA durante a construção do app também são processadas pelo serviço da Lovable. Se os prompts ou o contexto do projeto estiverem sujeitos a restrições, é preciso verificar isso separadamente.

A Deutsche Telekom conectou a Lovable por meio da plataforma interna de IA AskT. Segundo a empresa, já foram criados ali milhares de aplicativos e protótipos, e as cargas mais sensíveis exigem que aplicativos e dados não saiam da rede própria. Atualmente, a Telekom constrói plataformas para funcionários junto com a equipe global de RH.

Por onde começar

O modo está disponível apenas para clientes Enterprise selecionados, e parte dos recursos de hospedagem da Lovable ainda não existe nele: não há paridade total. A hospedagem na Lovable continua sendo a opção padrão e, a julgar pela descrição, muitas organizações vão manter dois tipos de workspace: um na própria AWS para dados sensíveis e os demais na Lovable.

A ordem prática de ação é esta. Primeiro, liste os aplicativos que precisam de dados fechados e anote o que a política exige quanto ao local de execução deles. Depois, apresente a arquitetura de TI e de segurança por meio do gerente de contas da Lovable ou escreva para [email protected]. Verifique separadamente se o esquema em que a Lovable processa as requisições aos modelos é aceitável para vocês. No mesmo dia, a empresa anunciou uma opção equivalente para o Azure.