Seu app do Lovable pode estar mostrando dados para qualquer pessoa. Veja como conferir
Uma análise de 159 mil projetos feitos no Lovable encontrou milhares de apps entregando registros do banco a quem nem fez login. A causa costuma ser uma configuração do Supabase que leva poucos minutos para conferir.
Fazer um app no Lovable em uma tarde virou rotina. O que pouca gente confere é quem consegue ler os dados que esse app guarda.
No dia 2 de novembro, o jornal alemão Handelsblatt publicou uma análise feita com a empresa de segurança Crissy Field sobre apps criados no Lovable. Os números chamam atenção.
O que a análise encontrou
Segundo a cobertura da análise, os pesquisadores reuniram 159.041 projetos publicados com o Lovable. Desses, 34.545 usavam o Supabase como banco de dados.
- Em 24.664 apps, registros do banco já apareciam ao abrir a página, sem login.
- Em 7.403 deles, havia tabelas com e-mails de usuários.
- Entre os casos citados estão números de passaporte, mensagens de chat e listas de clientes.
Os próprios pesquisadores fazem ressalvas. Parte desses dados pode ser pública de propósito, como um catálogo. Eles também não puderam dizer se alguém usou as informações. Ainda assim, o padrão é claro, e não se trata de uma invasão ao Lovable. O problema está na configuração de cada app.
Por que isso acontece
Todo app feito com Supabase leva para o navegador uma chave pública. Ela foi feita para ficar exposta, e a proteção fica nas regras do banco, o chamado RLS (Row Level Security, ou segurança por linha).
A documentação do Supabase avisa que uma tabela exposta sem RLS pode ser lida e alterada por qualquer pessoa com acesso a ela. Quando o assistente de IA cria uma tabela e esquece de ligar o RLS, ou liga sem regras bem pensadas, a chave pública abre a porta.
Como conferir o seu app hoje
Você não precisa ser programador para fazer a primeira checagem:
- Abra o painel do Supabase e veja a lista de tabelas. Tabelas com o aviso de RLS desligado são o primeiro alerta.
- Rode o Security Advisor do próprio Supabase, que aponta tabelas e funções expostas.
- Ligue o RLS em todas as tabelas e crie regras que deixem cada usuário ver só o que é dele.
- Confira os arquivos guardados no Storage. Pastas públicas com documentos ou fotos de clientes são outro vazamento comum.
- Procure a chave secreta no código do site. Ela ignora todas as regras e nunca pode ir para o navegador.
- Teste com uma segunda conta. Entre como outro usuário e tente abrir os dados do primeiro.
Se o app guarda dados de clientes e algo estava aberto, envolva quem cuida da parte jurídica. A LGPD pede que a empresa avalie o incidente e, quando houver risco relevante, comunique a ANPD e as pessoas afetadas.
Corrigir ou migrar?
Na maioria dos casos, ligar o RLS e escrever boas regras resolve. A migração faz sentido quando o app cresceu além do protótipo, quando guarda dados sensíveis ou quando um cliente grande pede questionário de segurança, contrato de dados ou hospedagem na AWS.
Na nossa migração de apps do Lovable para AWS ou Google Cloud, a primeira etapa é justamente essa revisão de banco, logins e permissões. Você recebe um plano por escrito antes de qualquer mudança, e o código e as contas ficam no nome da sua empresa.