Análise de segurança do seu app feito com IA
Cole o endereço do app e, em cerca de 20 segundos, veja o que qualquer visitante consegue ler nele:
- Chaves secretas no código público (Stripe, OpenAI, AWS, Supabase)
- Source map aberto, com o código-fonte à mostra
- Cabeçalhos de segurança que faltam
- Deploy antigo ainda no ar e erros que ninguém vê
- Dados de usuários indo direto para um modelo de IA
- Grátis
- Cerca de 20 segundos
- Só o que o navegador baixa
Achamos 3 pontos para corrigir
Exemplo de relatório de um app feito com IA
- Chaves secretas no código público 1
- Source map público Sim
- Cabeçalhos de segurança 1 de 5
- Monitoramento de erros Sim
O que a checagem lê
- Chaves no código públicoStripe, OpenAI, Anthropic, AWS e a service_role do Supabase. Mostramos o tipo, nunca o valor.
- Source map e cabeçalhosSe o código-fonte está aberto e se o navegador recebe as proteções básicas.
- Deploy e errosSe a página inicial pode mostrar versão antiga e se alguém vê os erros dos usuários.
- Chamadas a modelos de IASe o navegador envia dados direto para a API de um modelo.
O que a checagem lê
Abrimos a página inicial do app, os primeiros scripts que ela carrega e, se existir, o arquivo de source map. É o que o navegador de qualquer visitante baixa. Não fazemos login, não testamos o banco de dados nem formulários, e não guardamos o código.
Quando achamos uma chave secreta, o relatório diz o tipo e quantas há. O valor não aparece em lugar nenhum. O Supabase sempre publica a chave anon, e isso é normal: o que protege os dados são as regras de acesso de cada tabela, que esta leitura não testa.
Perguntas comuns
Funciona com app que não foi feito com IA?
Funciona com qualquer site que carregue scripts. A checagem é pensada para apps gerados por Lovable, Bolt, v0, Replit e similares, mas os pontos valem para qualquer app web.
Posso checar o app de um cliente ou de outra pessoa?
Pode. A checagem só usa o que qualquer visitante já baixa ao abrir o endereço.
Um ponto veio errado. O que faço?
Chamadas feitas por servidor e regras do banco não aparecem numa leitura de fora. Responda o e-mail do relatório com o ponto errado e a gente corrige.