アプリの URL を貼り付けるだけで、無料のローンチ準備スキャンを実行。さらに、人間によるレビュー付き・保険付きのクリアランスを取得できます。ユーザーのデータが本当に安全だと確認したうえでローンチしましょう。
45% of AI-generated code samples introduced a security vulnerability in testing.
— Veracode 2025 GenAI Code Security Report
誰でもアプリを作れるツールは、データベースが丸見えになっていても、API キーがブラウザに露出していても、管理画面に鍵がかかっていなくても警告してくれません。創業者はたいてい、痛い目を見てから気づきます。
I vibe-coded an MVP in 2 days. Took 3 months to clean up the security debt. The AI never warned me once.
I know I have RLS enabled so I'm fine — I was so WRONG. Lovable tends to leave read wide open.
My Stripe secret key shipped to the frontend. 175 customers were charged $500 each before I could rotate it.
セキュリティ・クリアランスなしでローンチするとどうなるか、記録に残った短い歴史です。
Every project before Nov 2025
A disclosure claimed every Lovable project created before November 2025 was exposed — driven by missing row-level security on user databases.
Public disclosure, Apr 2026 (amplified across X/HN)
CVSS up to 9.3 · 170+ apps
Missing row-level security let anyone read and write other users' data across 170+ deployed Lovable apps.
CVE-2025-48757
Full auth bypass
Researchers found an authentication bypass exposing private apps; patched by the vendor within 24 hours of disclosure.
Wiz / Gal Nagli, disclosed Jul 9 2025
2,000+ vulns · 400+ secrets
A scan of 5,600 vibe-coded apps surfaced 2,000+ vulnerabilities, 400+ leaked secrets and 175 PII instances.
Escape research, Oct 2025
1.5M API tokens · 35k emails
An exposed backend leaked roughly 1.5 million API tokens and tens of thousands of user emails.
Public incident report
380,000 exposed apps
A scan of the no-code/vibe-coding ecosystem found roughly 380,000 publicly exposed applications.
Red Access, Shadow Builders report, May 2026
でも、情報漏洩まで一緒にリリースしないように。
無料スキャンを受けるアプリの URL を貼り付けてください。ローンチを台無しにする問題（公開状態のデータベース、露出したキー、欠落した認証、脆弱なヘッダー）を自動でチェックします。
実際のセキュリティエンジニアが診断結果をレビューし、ノイズを取り除き、あなたのアプリで本当に悪用可能なものは何かを確認します。汎用的なチェックリストではありません。
署名入りのクリアランスと、わかりやすい言葉での修正リストを受け取れます。この承認は E&O 保険（専門職賠償責任保険）と、責任を負う実名のエンジニアによって裏付けられています。
わずか 1 週間で 8 つのスキャナーがローンチしました。そのほとんどは PDF を渡して「幸運を祈ります」と言うだけ。ClearedToShip は違う作りになっています。
A signed human attestation, backed by E&O insurance and a named accountable engineer — not just another automated report.
私たちについて・責任体制 →ダウンロードフォルダで埃をかぶる40ページのPDFではありません。あなたのアプリをレビューしたエンジニアが発行し、E&O保険で裏付けられた、署名済みで検証可能なクリアランスです。シールをサイトに埋め込み、証明書を顧客に送り、デューデリジェンス中の投資家に渡せます。
これらは、どのアプリでも私たちが必ず探す「ローンチを台無しにする」問題で、AIビルダーが実際につまずくポイントに対応しています。そのうえで、人間があなたのアプリで本当に悪用できるものを確認するので、重要な箇所だけを直せます。
行レベルセキュリティ（RLS）と Firestore/RTDB のルール——ほとんどのバイブコーディング流出の原因は、データベースが開けっ放しなことです。
ブラウザや公開リポジトリに出てしまったサービスキー・APIトークン・管理者資格情報。
ログインが本当にデータを守っているか——そして、あるユーザーが別のユーザーの記録に届いてしまわないか。
クリックジャッキング・MIMEスニッフィング・ダウングレード攻撃を防ぐ CSP・HSTS などのヘッダー。
ユーザーのファイルや個人情報をこっそり露出させる公開バケットやアップロード規則。
攻撃者が総当たり・スクレイピングしたり、請求を膨らませたりできるエンドポイント。
profiles テーブルが公開状態で読み取り可能——誰でも全ユーザーのメールアドレスや個人データを抜き出せます。 対処：行レベルセキュリティを有効化し、本人のみ読み取り可能なポリシーを追加。クリアランス前に解決を確認済み。
市販のスキャナーは、間違っても問い合わせる相手がいません。ClearedToShip のクリアランスは、すべて実在の人物が署名し、実在の保険で裏付けられています。
レビューを担当するセキュリティエンジニアが、クリアランスに自ら署名します——匿名のツールではなく、名前のある責任を負う人物です。担当者の名前はクリアランスそのものに記載されます。
私たちの署名は、専門職賠償責任（Errors & Omissions）保険で裏付けられています——だからクリアランスは、単なる免責文ではなく、本物で回収可能な金銭的責任を伴います。
バイブコーディングによる情報漏洩の最大の原因は、Supabase データベースが公開状態のまま読み取り可能になっていることです。無料の RLS チェッカーなら数秒で判明します。登録もインストールも不要。
開いたテーブルが1つあるだけで、全ユーザーのデータが抜かれかねません。漏洩後にかかるもの——キーの再発行、漏洩通知、返金、失われた信頼、数週間の作り直し——は、先にクリアランスを取る費用をはるかに上回ります。
一度のエコシステム調査で見つかった、公開状態のノーコード／バイブコーディング製アプリ。
— Red Access, 2026
露出した1つのバックエンドから漏れた APIトークンと、3.5万件のユーザーメール。
— Public incident report
RLS 欠落のバグ1つで、誰でも他ユーザーのデータを読み書きできた本番アプリ。
— CVE-2025-48757
早期アクセスのリストに参加してください。デプロイ済みのアプリがあり、カレンダーにローンチ日が入っている創業者を優先します。