Lovable сканирует каждое приложение перед публикацией и чинит дыры в доступе в пару кликов

Приложение собрано за вечер в чате с ИИ, им уже пользуются живые люди — и вопрос «а оно вообще безопасно?» становится неудобным. Lovable ответила постом от команды безопасности: что платформа делает сама, что подсвечивает и что оставляет вам. Разберём, что из этого реально полезно.

Что работает без вашего участия

Базовая защита включена по умолчанию. Вход и контроль доступа настроены заранее, секреты шифруются и не попадают во фронтенд-код, а приложение сканируется прямо по ходу сборки. Всё это одинаково для всех, включая бесплатные аккаунты. Для вайбкодинга это важная деталь: человек без технического бэкграунда сам не заметит, что секретный ключ уехал в клиентский код.

Цикл «нашли — починили — выпустили»

Каждый раз при публикации сканеры проверяют код, логику приложения, схемы базы данных и политики row-level security (RLS). Это правила, которые решают, кто может читать и менять конкретные строки в таблицах.

Простой пример. У вас есть таблица заказов, и политика разрешает любому залогиненному пользователю читать всю таблицу, а не только его собственные заказы. Приложение при этом работает идеально, ничего не падает, и на глаз дыру не увидеть. Lovable говорит, что именно слишком открытые правила доступа — самая частая проблема в приложениях на платформе. Сканер подсветит её до релиза, вы нажмёте Fix, агент получит инструкцию под эту конкретную находку и перепишет политику.

Есть и другие рычаги:

• глубокий скан можно запускать в любой момент и бесплатно: он идёт дольше, но копает глубже. Он построен на собственной тестовой системе, обученной на типовых проблемах Lovable-приложений;
• опция «Auto-fix security issues» в настройках проекта закрывает многие находки автоматически вместе с вашим следующим сообщением в чате;
• контроль публикации: вы или админ рабочего пространства можете запретить релиз, пока есть критические находки.

Последний пункт, пожалуй, самый практичный. Он превращает безопасность из совета в гейт, как красный CI перед деплоем.

Что всё равно делать вам

Платформа прямо говорит: разбирать находки и действовать — ваша работа, либо отдайте её автофиксу. Иногда сканер флагует то, что сделано намеренно, например публичные имена пользователей на форуме. Тут нужно ваше решение: приложение ваше, и последнее слово о том, что выходит в прод, тоже за вами.

Чего в посте нет

Это сообщение вендора, и цифр в нём нет. Ни точности сканера, ни доли ложных срабатываний, ни того, сколько находок автофикс закрывает корректно. Формулировка «многие находки» означает, что не все. Кроме того, автофикс — это агент, который правит код и политики. После него стоит хотя бы глазами пройтись по диффу, особенно если в приложении платежи или персональные данные. Для серьёзного продукта автоматический скан, на мой взгляд, не заменяет независимый аудит.

В планах на этот месяц — переработанный интерфейс безопасности с более читаемыми находками и регулярные сканы по расписанию на всех платных тарифах, без лишних кликов.

Что с этим делать

Если вы собираете продукт на Lovable:

1. Включите блокировку публикации при критических находках, а на командном проекте попросите админа сделать то же.
2. Включите автофикс, но просматривайте изменения в тех местах, где лежат чужие данные.
3. Перед первым открытым запуском прогоните глубокий скан руками.
4. Пересмотрите «намеренные» находки: если данные открыты осознанно, зафиксируйте это решение.

Если вы работаете в другом вайбкодинг-инструменте, вопрос тот же: проверяет ли он RLS-политики и секреты перед релизом и умеет ли остановить публикацию. Если нет, этот чек-лист придётся проходить вручную.