Cole a URL do seu app e receba uma varredura gratuita de prontidão para o lançamento. Depois, conte com uma liberação revisada por humanos e com seguro — para você lançar sabendo que os dados dos seus usuários estão realmente protegidos.
45% of AI-generated code samples introduced a security vulnerability in testing.
— Veracode 2025 GenAI Code Security Report
As ferramentas que permitem qualquer pessoa criar um app não avisam quando o banco de dados está totalmente aberto, a chave de API está exposta no navegador ou o painel administrativo não tem cadeado nenhum. Os fundadores descobrem isso do jeito difícil.
I vibe-coded an MVP in 2 days. Took 3 months to clean up the security debt. The AI never warned me once.
I know I have RLS enabled so I'm fine — I was so WRONG. Lovable tends to leave read wide open.
My Stripe secret key shipped to the frontend. 175 customers were charged $500 each before I could rotate it.
Um histórico curto e documentado de como é subir um app sem uma liberação de segurança.
Every project before Nov 2025
A disclosure claimed every Lovable project created before November 2025 was exposed — driven by missing row-level security on user databases.
Public disclosure, Apr 2026 (amplified across X/HN)
CVSS up to 9.3 · 170+ apps
Missing row-level security let anyone read and write other users' data across 170+ deployed Lovable apps.
CVE-2025-48757
Full auth bypass
Researchers found an authentication bypass exposing private apps; patched by the vendor within 24 hours of disclosure.
Wiz / Gal Nagli, disclosed Jul 9 2025
2,000+ vulns · 400+ secrets
A scan of 5,600 vibe-coded apps surfaced 2,000+ vulnerabilities, 400+ leaked secrets and 175 PII instances.
Escape research, Oct 2025
1.5M API tokens · 35k emails
An exposed backend leaked roughly 1.5 million API tokens and tens of thousands of user emails.
Public incident report
380,000 exposed apps
A scan of the no-code/vibe-coding ecosystem found roughly 380,000 publicly exposed applications.
Red Access, Shadow Builders report, May 2026
Não suba um vazamento junto com ele.
Quero minha varredura grátisCole a URL do seu app. Rodamos uma checagem automática nos problemas que afundam lançamentos — bancos de dados abertos, chaves expostas, falta de autenticação, cabeçalhos fracos.
Um engenheiro de segurança de verdade revisa os achados, tira o ruído e confirma o que realmente dá para explorar no seu app — não uma lista genérica.
Você recebe uma liberação assinada e uma lista de correções em português claro. O aval tem o respaldo de um seguro de responsabilidade profissional (E&O) e de um engenheiro identificado e responsável.
Oito scanners foram lançados em uma única semana. Quase todos te entregam um PDF e desejam boa sorte. O ClearedToShip é diferente.
A signed human attestation, backed by E&O insurance and a named accountable engineer — not just another automated report.
Sobre e responsabilidade →Não um PDF de 40 páginas que apodrece na sua pasta de downloads. Uma liberação assinada e verificável, emitida pelo engenheiro que revisou seu app e respaldada por seguro de E&O. Incorpore o selo no seu site, envie o certificado a um cliente ou entregue-o a um investidor fazendo due diligence.
Estes são os problemas que afundam um lançamento e que procuramos em todo app — mapeados para como as ferramentas de IA realmente falham. Depois uma pessoa confirma o que é de fato explorável no seu, para você corrigir o que importa.
Segurança em nível de linha (RLS) e regras do Firestore/RTDB — o buraco de banco aberto por trás da maioria dos vazamentos de vibe-coding.
Chaves de serviço, tokens de API e credenciais de admin que foram parar no navegador ou num repositório público.
Se o login realmente protege os dados — e se um usuário consegue alcançar os registros de outro.
CSP, HSTS e os cabeçalhos que bloqueiam clickjacking, MIME-sniffing e ataques de downgrade.
Buckets públicos e regras de upload que expõem silenciosamente arquivos de usuários e dados pessoais.
Endpoints que um atacante pode forçar por força bruta, raspar ou usar para estourar sua fatura.
profiles é legível publicamente — qualquer um pode extrair o e-mail e os dados privados de todos os usuários. Correção: ative a segurança em nível de linha e adicione uma política de leitura só para o dono. Verificado como resolvido antes da liberação.
Um scanner genérico não tem ninguém para chamar quando erra. Toda liberação da ClearedToShip é assinada por uma pessoa real e respaldada por um seguro real.
O engenheiro de segurança que faz a sua revisão assina a liberação pessoalmente — uma pessoa com nome e responsabilidade, não uma ferramenta anônima. Seu revisor é nomeado na própria liberação.
Nossa assinatura é respaldada por seguro profissional de Erros e Omissões (E&O) — então a liberação carrega responsabilidade financeira real e recuperável, não apenas um aviso legal.
A causa nº 1 de vazamentos em apps feitos no improviso é um banco de dados Supabase deixado aberto para leitura pública. Nosso verificador de RLS gratuito te diz em segundos — sem cadastro, sem instalação.
Uma única tabela aberta pode despejar todos os usuários que você tem. O que vem depois de um vazamento — rotacionar chaves, avisos de violação, reembolsos, confiança perdida, semanas refazendo a arquitetura — é muito maior que o preço de se liberar antes.
apps no-code / vibe-coded expostos publicamente, encontrados num único escaneamento do ecossistema.
— Red Access, 2026
tokens de API e 35 mil e-mails de usuários vazados de um backend exposto.
— Public incident report
apps em produção onde qualquer um podia ler e escrever dados de outros usuários por uma falha de RLS ausente.
— CVE-2025-48757
Varredura automática de prontidão para o lançamento e um resumo em português claro do que encontramos.
Quero minha varredura grátisRevisão humana e uma liberação assinada, com respaldo de seguro de responsabilidade profissional (E&O) e de um engenheiro identificado.
Entrar no acesso antecipadoContinue liberado conforme você evolui. Monitoramento contínuo e novo atestado para apps em crescimento.
Entrar no acesso antecipadoEntre na lista de acesso antecipado. Vamos priorizar fundadores com um app já no ar e uma data de lançamento marcada.