SCANBLIND
Escanear grátis
ALERTA 1 em cada 10 apps do Lovable analisados expunha dados de usuários

Seu app tem furos. Os robôs já estão procurando.

O Scanblind encontra chaves vazadas, banco de dados aberto e configurações perigosas no seu SaaS e entrega o prompt pronto para o Lovable, Bolt, Cursor ou Claude Code corrigir. Depois, vigia o app todo mês para o furo não voltar.

Sem cartãoSem instalar nadaSó leitura: não toca nos seus dados
Amostra · app de teste · laudo Scanblind sk_live_… no bundle JS .env público tabela profiles sem RLS CORS aceita qualquer site sem CSP
Nota F16 furos · 8 críticos

Lovable, Bolt, v0, Cursor, Replit, Claude Code, Next.js, Vite, Supabase, Firebase, PocketBase, Hostinger Horizons, Vercel e Netlify.

O que as pesquisas encontraram

A IA constrói rápido. E deixa as portas abertas.

Ferramentas de IA geram apps que funcionam. Elas não avisam que a chave do Stripe foi parar no navegador ou que qualquer visitante lê a tabela de clientes.

2.000+

vulnerabilidades graves e 400 segredos expostos em 5.600 apps feitos com vibe coding.

Escape.tech, estudo com apps publicados
10,3%

dos apps do Lovable analisados expunham dados de usuários por falta de regras no banco (RLS).

CVE-2025-48757 · 170 de 1.645 apps
98%

de 1.072 apps feitos com IA tinham pelo menos uma falha de segurança.

Symbiotic Security
Agora mesmo

GET /.env · GET /.git/HEAD · GET /backup.sql · GET /rest/v1/profiles?select=* · robôs testam esses caminhos em sites novos o dia inteiro

Como fica o laudo

Do furo ao prompt em um clique.

Cada falha vem explicada em português, com a prova do que encontramos e um prompt pronto para colar na sua ferramenta de IA. Clique nos achados.

Fapp-demo.com.br
16 achados · 27 requisições · 0,1 s
8 críticas 1 alta 5 médias 2 baixas

    Laudo real gerado pelo Scanblind num app de teste com falhas plantadas. Os segredos aparecem mascarados, como no produto.

    Mais de 60 verificações

    Tudo que um atacante olha primeiro.

    Olhamos o seu app do lado de fora, como um atacante olharia: o que o navegador recebe, o que o servidor responde e o que o banco deixa ler.

    14

    Chaves secretas no front-end

    Stripe, OpenAI, Anthropic, service_role do Supabase, Mercado Pago, Asaas, AWS, GitHub e outras, inclusive dentro dos source maps.

    RLS

    Banco aberto

    Testamos se tabelas do Supabase, coleções do Firebase e do PocketBase e buckets de arquivos podem ser lidos sem login.

    16

    Arquivos que não deviam estar lá

    .env, pasta .git, backups .sql, .npmrc, credenciais de servidor e outros caminhos sensíveis.

    7

    Cabeçalhos de proteção

    CSP, HSTS, clickjacking e afins, com o arquivo de configuração certo para a sua hospedagem.

    TLS

    HTTPS e certificado

    Redirecionamento, validade do certificado, protocolos antigos e conteúdo misto.

    CORS

    Quem pode ler sua API

    Detectamos APIs que entregam dados do usuário logado para qualquer site.

    SPF

    E-mail falso com seu domínio

    SPF e DMARC: impedem golpistas de mandar cobranças falsas em seu nome.

    APK

    App mobile

    Chaves e endpoints dentro do APK ou IPA do seu app.

    Em breve
    PR

    Correção no GitHub

    Abrimos o pull request com a correção direto no seu repositório.

    Em breve
    Como funciona

    Cole. Corrija. Confira de novo.

    1. Cole a URL

      Sem instalar nada e sem SDK. O scan passivo roda em menos de um minuto e já mostra a nota do seu app.

    2. Prove que é seu

      Um registro no DNS ou um arquivo no site. Só então testamos o banco de dados, com a chave pública do próprio app.

    3. Cole o prompt

      Cada furo tem um prompt. O prompt mestre corrige tudo em ordem, do mais grave ao mais leve.

    4. Vigiamos todo mês

      O re-scan confirma a correção. A partir daí, cada deploy é verificado e você recebe alerta quando um furo aparece.

    Monitoramento contínuo

    Um deploy basta para abrir um furo novo.

    Você corrige hoje, pede uma funcionalidade nova para a IA amanhã e a chave volta para o front-end. Por isso o Scanblind não para no primeiro laudo.

    • Re-scan do app inteiro, toda semana ou todo dia
    • Alerta no e-mail com o prompt de correção junto (WhatsApp em breve)
    • Aviso antes do certificado vencer
    • Laudo que mostra o que foi testado e o que ficou de fora, com data
    Alertas de exemplomonitorando

    1. CríticaChave sk_live_ voltou para o bundle depois do deploy de hojePrompt de correção enviado por e-mail

    2. CorrigidoRe-scan confirmou: chave removida do front-endLembrete: gerar chave nova no Stripe

    3. AltaTabela invoices passou a ser lida sem loginNova tabela criada sem RLS

    4. MédiaCertificado HTTPS vence em 12 diasRenovação automática parece desligada

    Seguro de usar em produção

    O que a gente não faz.

    Derrubar o seu site

    Sem teste de carga, sem ataque. Algumas dezenas de requisições de leitura, identificadas pelo nosso robô.

    Guardar dados dos seus clientes

    Quando uma tabela está aberta, registramos o nome e a contagem de linhas. Nunca o conteúdo.

    Mostrar seus segredos

    Chaves aparecem mascaradas no laudo: só o começo e o fim, o bastante para você saber qual trocar.

    Testar o que não é seu

    O teste do banco só roda depois que você comprova que o domínio é seu. Tudo em conformidade com a LGPD.

    Para quem é

    Você construiu sozinho. Não precisa proteger sozinho.

    Fundador solo

    Você não é especialista em segurança e não tem R$ 15 mil para um pentest.

    Receba o laudo em português, cole o prompt e siga construindo.

    Freela e estúdio

    Você entrega apps para clientes e o problema volta para você.

    Entregue cada projeto com laudo e selo de monitoramento. Vira argumento de venda.

    Agência

    Dezenas de apps no ar e ninguém olhando todos eles.

    Um painel para todos os clientes e relatório mensal com a marca da sua agência.

    Planos

    Mais barato que um vazamento.

    Preço em reais, no Pix ou no cartão, pelo checkout da Cakto. Cancela quando quiser.

    Grátis

    Para descobrir a nota do seu app agora.

    R$ 0

    para sempre

    • Nota de A a F na hora
    • 3 achados com prompt na hora
    • Todos os prompts e o prompt mestre com o seu e-mail
    Escanear grátis

    Indie

    Para quem tem um SaaS no ar.

    R$ 49/mês

    • 1 app web
    • Todos os achados e o prompt mestre
    • Teste do banco (Supabase, Firebase e PocketBase)
    • Re-scan semanal
    • Alertas por e-mail
    • Reteste depois de cada correção
    Assinar Indie
    Mais escolhido

    Pro

    Para quem fatura com o app e não pode vazar.

    R$ 129/mês

    • Até 3 apps
    • Re-scan diário
    • Re-scan a cada deploy em breve
    • Alertas no WhatsApp em breve
    • Relatório mensal LGPD em breve
    • Selo "Monitorado por Scanblind" em breve
    • App mobile em breve
    • Correção via GitHub em breve
    Assinar Pro

    Agência

    Para quem cuida dos apps dos clientes.

    R$ 399/mês

    • Até 15 apps
    • Tudo do Pro
    • Painel com todos os clientes em breve
    • Relatório com a marca da agência em breve
    • Suporte prioritário
    Assinar Agência
    7 dias de garantia

    Se não gostar, peça o reembolso integral em até 7 dias, sem perguntas. É o seu direito pelo Código de Defesa do Consumidor e a gente cumpre sem burocracia.

    Dúvidas

    Antes de você perguntar.

    Preciso instalar alguma coisa?

    Não. Cole a URL e o scan começa. Para o teste completo do banco de dados, você comprova que o domínio é seu com um registro no DNS ou um arquivo no site.

    O scan pode derrubar ou quebrar meu app?

    Não. São requisições de leitura, como as de um visitante comum, em quantidade pequena. Não fazemos teste de carga, não enviamos formulários e não alteramos nenhum dado.

    Vocês veem os dados dos meus clientes?

    Quando uma tabela está aberta, o laudo registra apenas o nome da tabela e quantas linhas qualquer pessoa consegue ler. O conteúdo não é guardado. Chaves aparecem mascaradas.

    Funciona com o meu app?

    Funciona com qualquer site ou app web acessível pela internet: Lovable, Bolt, v0, Cursor, Replit, Hostinger Horizons, Next.js, Vite, Supabase, Firebase, PocketBase, Vercel, Netlify e Cloudflare, entre outros. A análise de apps mobile está chegando.

    Como funciona o prompt de correção?

    Cada achado traz um prompt escrito para a sua situação: o arquivo, a hospedagem e o serviço envolvidos. Você cola no Lovable, Bolt, Cursor ou Claude Code. O prompt mestre junta todos em ordem de gravidade. O que só você pode fazer, como gerar uma chave nova, vem destacado.

    Substitui um pentest?

    Não. O Scanblind cobre os furos mais comuns e vigia o app continuamente. Um pentest manual vai além, testando a lógica do seu negócio. Para a maioria dos SaaS em início de vida, começar pelo Scanblind fecha os buracos mais óbvios e mais explorados.

    Posso cancelar quando quiser?

    Sim, direto no painel, sem multa. E nos primeiros 7 dias você recebe o reembolso integral.

    Os robôs não esperam o seu próximo sprint.

    Descubra agora o que eles já conseguem ver no seu app.

    Laudo

    Abrindo o app…

    Escaneando

    Comprovar que o domínio é seu

    Leva 2 minutos. Depois disso você vê todas as falhas, com os prompts, e libera o teste completo do banco de dados.

    Pronto.