Lovable verifica cada aplicativo antes da publicação e corrige falhas de acesso em poucos cliques

Você criou um aplicativo em uma noite, conversando com uma IA, e pessoas reais já estão usando o produto — até que a pergunta “mas isso é mesmo seguro?” começa a incomodar. A Lovable respondeu em uma publicação da equipe de segurança: o que a plataforma faz sozinha, o que sinaliza e o que deixa nas suas mãos. Vamos ver o que há de realmente útil nisso.

O que funciona sem a sua intervenção

A proteção básica vem ativada por padrão. A autenticação e o controle de acesso já estão configurados, os segredos são criptografados e não vão parar no código do frontend, e o aplicativo é verificado durante o desenvolvimento. Isso vale para todos, inclusive para contas gratuitas. No vibe coding, esse detalhe importa: quem não tem formação técnica dificilmente vai perceber que uma chave secreta acabou no código do cliente.

O ciclo “encontrar — corrigir — publicar”

A cada publicação, os scanners verificam o código, a lógica do aplicativo, os esquemas do banco de dados e as políticas de row-level security (RLS). São as regras que determinam quem pode ler e alterar linhas específicas nas tabelas.

Um exemplo simples: você tem uma tabela de pedidos, e a política permite que qualquer usuário autenticado leia a tabela inteira, em vez de apenas os próprios pedidos. O aplicativo funciona perfeitamente, nada dá erro, e a falha não aparece a olho nu. Segundo a Lovable, regras de acesso permissivas demais são o problema mais comum nos aplicativos da plataforma. O scanner sinaliza a falha antes do lançamento, você clica em Fix, e o agente recebe uma instrução específica para aquele problema e reescreve a política.

Há também outros recursos:

• a verificação aprofundada pode ser executada a qualquer momento e gratuitamente: demora mais, mas investiga mais a fundo. Ela se baseia em um sistema próprio de testes, treinado com problemas típicos de aplicativos criados na Lovable;
• a opção “Auto-fix security issues”, nas configurações do projeto, corrige automaticamente muitos dos problemas encontrados quando você envia a próxima mensagem no chat;
• controle de publicação: você ou o administrador do espaço de trabalho pode bloquear o lançamento enquanto houver problemas críticos.

O último ponto talvez seja o mais prático. Ele transforma a segurança de recomendação em condição obrigatória, como um CI que falha e impede o deploy.

O que ainda cabe a você

A plataforma é explícita: analisar os problemas encontrados e tomar providências é responsabilidade sua, ou você pode delegar essa tarefa à correção automática. Às vezes, o scanner sinaliza algo que foi feito de propósito, como nomes de usuário públicos em um fórum. Nesse caso, a decisão é sua: o aplicativo é seu, e a palavra final sobre o que entra em produção também.

O que a publicação não informa

É uma comunicação do fornecedor, sem números. Não há dados sobre a precisão do scanner, a taxa de falsos positivos nem quantos problemas a correção automática resolve corretamente. A expressão “muitos problemas” significa que ela não resolve todos. Além disso, a correção automática é feita por um agente que altera código e políticas. Vale ao menos revisar o diff depois, especialmente se o aplicativo lida com pagamentos ou dados pessoais. Para um produto de maior responsabilidade, uma verificação automática, na minha avaliação, não substitui uma auditoria independente.

Os planos para este mês incluem uma interface de segurança reformulada, com resultados mais fáceis de entender, e verificações periódicas agendadas em todos os planos pagos, sem cliques extras.

O que fazer com isso

Se você está criando um produto na Lovable:

1. Ative o bloqueio da publicação quando houver problemas críticos e, em projetos de equipe, peça ao administrador para fazer o mesmo.
2. Ative a correção automática, mas revise as alterações nos pontos que armazenam dados de outras pessoas.
3. Antes do primeiro lançamento aberto ao público, execute manualmente uma verificação aprofundada.
4. Reavalie os problemas considerados “intencionais”: se os dados estão públicos por decisão consciente, registre essa decisão.

Se você usa outra ferramenta de vibe coding, a pergunta é a mesma: ela verifica políticas de RLS e segredos antes do lançamento e consegue impedir a publicação? Se não, você terá de seguir essa lista de verificação manualmente.