Lovable é seguro?
Atualizado em 6 de novembro de 2026 · Todos os guias
O Lovable gera o app, mas quem decide quem pode ler e alterar os dados é a configuração do banco, quase sempre o Supabase. Foi aí que apareceu a falha mais conhecida desses apps.
O que foi a CVE-2025-48757
É uma falha de gravidade crítica (nota 9.3 de 10) registrada em 30 de maio de 2025. Em apps gerados pelo Lovable até 15 de abril de 2025, regras de acesso ao banco (RLS) insuficientes deixavam qualquer pessoa, sem login, ler e até alterar tabelas inteiras. Uma análise encontrou o problema em 170 de 1.645 apps verificados. O Lovable contesta a classificação e diz que proteger os dados é responsabilidade de cada dono de app.
Na prática, o que importa é: a chave pública do Supabase vai junto com o seu app para o navegador, de propósito. Quem protege os dados não é esconder essa chave, são as regras de RLS de cada tabela.
O que conferir antes de publicar
- RLS ligado em todas as tabelas do esquema
public. Veja o nosso guia de RLS no Supabase. - Cada regra limita ao próprio usuário: algo como
auth.uid() = user_id. Regra que libera tudo para o papelanonsó serve para dados que são públicos de verdade. - Nenhuma chave secreta no código do navegador: a
service_role(ou chave secreta) do Supabase, chaves da OpenAI, Stripe e afins ficam só no servidor. Veja por que VITE_ e NEXT_PUBLIC_ não guardam segredo. - Storage: buckets com arquivos dos usuários não podem ser públicos nem listáveis.
- Teste com duas contas: logado na conta B, tente abrir um pedido ou perfil da conta A. Se abrir, a regra está errada.
- Cadastro: confirmação de e-mail ligada e limite de tentativas no login.
Nenhum app fica livre de falhas para sempre. O objetivo é fechar os furos que robôs procuram primeiro e repetir a conferência a cada mudança grande.
O scan grátis do Scanblind testa chaves expostas, arquivos públicos, cabeçalhos, e-mail e-mail, subdomínios e outros riscos comuns, sem login, e entrega o prompt pronto para a sua IA corrigir.
Escanear meu app grátis