Checar se o app que você fez no Lovable está expondo dados (para quem não programa)
Você roda os scans de segurança do próprio Lovable, faz o teste das duas contas e pede para a IA explicar cada alerta em português simples e dizer o que corrigir primeiro, sem precisar saber programar.
Passo a passo
- No seu projeto do Lovable, abra a área de segurança (Security) e rode o Deep scan. Segundo a documentação do Lovable, o Quick scan roda sozinho a cada publicação, mas o Deep scan, que olha o código e as permissões, só roda quando você pede.
- Copie a lista de alertas (Critical, Warning e Info) e cole no chat de IA com o prompt abaixo. Não cole senhas, chaves secretas nem dados de clientes junto.
- Faça o teste das duas contas no seu app publicado: crie a conta A e a conta B, cadastre algo com a conta A e veja se a conta B consegue ver ou editar. Depois tente abrir as mesmas páginas sem estar logado, numa aba anônima.
- Corrija os alertas críticos primeiro, um de cada vez, usando no Lovable os pedidos de correção que a IA escrever. Depois de cada correção, repita o teste das duas contas.
- Rode o Deep scan de novo antes de cada publicação grande e guarde um print do resultado limpo com a data.
Prompt para copiar
Troque o que está entre [colchetes] pelos seus dados. Funciona em Lovable, ChatGPT, Claude, Gemini.
Não sei programar. Fiz um app no Lovable: [descreva em 2 linhas o que ele faz e quem usa]. Ele guarda estes dados dos usuários: [ex.: nome, e-mail, telefone, pedidos, fotos]. O scan de segurança do Lovable mostrou estes alertas: [cole a lista de alertas] No teste das duas contas aconteceu isto: [ex.: a conta B viu os pedidos da conta A / não viu nada / não testei ainda] Para cada alerta, monte uma tabela com: Alerta | O que significa em português simples (1 frase, sem jargão) | Alguém de fora consegue ver ou mudar dados? (sim / talvez / não) | Urgência (corrigir hoje / esta semana / pode esperar) Depois: 1) Ordene o que eu devo corrigir primeiro. 2) Para cada item urgente, escreva o pedido exato que eu colo no chat do Lovable para corrigir, pedindo que ele explique o que mudou. 3) Diga como eu confirmo, sem programar, que a correção funcionou. Regras: não invente alertas que não estão na lista; se não tiver certeza do que um alerta significa, diga "não tenho certeza" e o que eu devo perguntar ao suporte do Lovable.
O ângulo Brasil
Se o app guarda nome, e-mail, telefone ou CPF de clientes, um vazamento é um incidente de segurança pela LGPD, não só um bug. A Resolução CD/ANPD nº 15/2024 manda o controlador comunicar à ANPD e aos titulares, em até 3 dias úteis, o incidente que possa causar risco ou dano relevante (agentes de pequeno porte têm o prazo em dobro). Corrigir antes de ter cliente real sai bem mais barato. Os casos de política de privacidade (LGPD) e de auditoria de RLS no Supabase, aqui no AgenteFaz, são os próximos passos.
Cuidados
Teste só o seu próprio app. Tentar invadir ou escanear sistema de outra pessoa sem autorização pode ser crime. O próprio Lovable avisa que os scans não garantem segurança completa: se o app lida com pagamento, saúde ou dados sensíveis, contrate uma revisão profissional. Nunca cole no chat de IA a chave service_role, senhas ou dados reais de clientes.
Perguntas frequentes
Se o Lovable já faz o scan, por que eu preciso do teste das duas contas?
Porque o scan aponta problemas comuns, mas quem sabe quais dados são privados no seu negócio é você. O teste das duas contas mostra, na prática, se um cliente consegue ver o que é de outro.
A chave que aparece no código do site é um vazamento?
Depende. A chave anon/publishable do Supabase foi feita para ser pública, desde que as regras de acesso (RLS) estejam certas. A chave service_role ou qualquer chave secreta de API (OpenAI, Stripe etc.) nunca pode aparecer no site; se aparecer, gere uma nova no painel do serviço na hora.
Preciso pagar alguma ferramenta para isso?
Não. Os scans fazem parte do Lovable e a explicação dos alertas funciona no plano grátis do ChatGPT, Claude ou Gemini.
Prompt revisado em 20 de outubro de 2026. Resultados variam por agente e modelo; confira sempre a resposta antes de usar.