Conhecer o Raio-X

Checklist gratuito

10 verificações antes de lançar seu app feito com IA

Lovable, Bolt, Cursor, v0 ou Replit: comece por aqui, mesmo sem saber programar.

Use só em apps seus ou com autorização. Prefira um ambiente de teste, contas de teste e dados fictícios. Se encontrar dados reais de outras pessoas, pare e corrija.

Antes de lançar

Crie duas contas. Na conta A, abra um pedido, perfil ou fatura. Troque o ID na URL pelo item da conta B. O app deve negar o acesso.

Antes de lançar

No Supabase, ative RLS nas tabelas expostas e revise as políticas. Trate using (true) como público. No Firebase, procure regras como allow read, write: if true.

Antes de lançar

Busque nos arquivos carregados por service_role, sb_secret, sk_live e chaves de IA. Revise variáveis NEXT_PUBLIC_ e VITE_. Chave pública ou anon pode aparecer, desde que as regras do banco protejam os dados.

Antes de lançar

Tente abrir páginas e APIs administrativas sem login e com conta comum. Esconder um botão não é proteção.

Antes de cobrar

O webhook deve validar a assinatura do provedor. O preço e o plano devem ser definidos no servidor, não pelo navegador. Faça o teste no modo de teste do provedor.

Confira limite de tentativas, expiração do link de recuperação e encerramento da sessão ao sair ou trocar a senha.

Abra em uma janela anônima o link de um documento privado. Limite tipo e tamanho dos envios e use links temporários quando preciso.

Confira se .env está fora do Git, inclusive no histórico. Se uma chave vazou, apagar o arquivo não basta: gere outra e revogue a anterior.

Defina cota por usuário, tamanho máximo e teto de gasto. Texto enviado pelo usuário não deve ampliar permissões nem liberar dados de outra pessoa.

Teste a restauração de um backup. Registre logins, ações administrativas e erros, sem gravar senhas ou dados sensíveis nos logs.

Peça uma primeira revisão à sua ferramenta de IA

Isso ajuda a encontrar problemas óbvios, mas não substitui um teste. Revise cada alteração antes de aplicar.

Revise este projeto em busca de falhas de segurança. Verifique isolamento entre usuários, regras do banco, segredos no cliente, rotas administrativas, webhooks de pagamento, envio de arquivos e limites de uso da IA. Para cada problema, informe arquivo, risco e correção sugerida. Não altere nada antes de me mostrar a lista.

Quer uma segunda opinião?

O Raio-X revisa essas áreas no seu app, com autorização por escrito, e entrega as prioridades em até 48 horas úteis depois do acesso.

Conhecer o Raio-X · Ver relatório de exemplo

Este checklist é um guia inicial. Não garante ausência de falhas e não substitui auditoria nem orientação jurídica.