Ist der Scan für Bubble-Apps kostenlos?

Ja. Der Außen-Scan ist vollständig kostenlos und anonym — ihr gebt nur die URL eurer Bubble-App ein.

Braucht decivo Zugang zu eurem Bubble-Account?

Nein. Der Scan prüft nur, was eure App öffentlich ausliefert. Tiefer geht es optional per read-only-Repo-Zugang oder nach einem Domain-Nachweis — beides ausdrücklich freiwillig.

Bubble Sicherheit prüfen

Ist eure Bubble-App produktionsreif?

Kostenloser, plattformunabhängiger Scan speziell für Bubble-Apps. Er prüft die für Bubble typischen Lücken — Zugriffsschutz, sichtbare Schlüssel, DSGVO — und liefert ein nachvollziehbares Go/Iterate/Stop-Verdikt mit versionierten Regel-Codes.

Bubble-App jetzt kostenlos prüfen

Typische Schwachstellen bei Bubble-Apps

Bubble-Apps führen Logik teils im Client aus — Privacy Rules, sichtbare API-Keys und offene Workflows sind die typischen Schwachstellen.

Diese Regeln gewichtet der Scan bei Bubble

RSC-SEC-010

Supabase service_role-Schlüssel im Client

Dekodiert JWTs im Bundle und meldet den Rollen-Claim `service_role`, der RLS vollständig umgeht.

RSC-SEC-015

Datenbank-Tabellen der anon-Rolle zugeteilt

Fragt mit dem von der App selbst veröffentlichten Client-Schlüssel den Schema-Endpunkt ab und listet die Tabellen, die der anon-Rolle zugeteilt sind — ohne einen Datensatz oder eine Zeilenzahl abzurufen. Zugeteilt heißt noch nicht lesbar: ob Zeilen herauskommen, entscheidet Row Level Security.

RSC-SEC-018

Geschützter Bereich nur im Browser abgesichert

Erkennt Admin-/Konto-Routen, die der Client-Router kennt, deren Schutz aber ausschließlich als Bedingung im Bundle steht — wer die URL kennt, ist drin.

RSC-SEC-050

Tabellen ohne Row Level Security

Sammelt alle `create table` und alle `enable row level security` über sämtliche Migrationen und meldet Tabellen, die nie geschützt werden.

RSC-SEC-051

RLS-Policy erlaubt allen Zugriff

Findet Policies mit `using (true)` — RLS ist aktiv, wirkt aber nicht.

RSC-PRV-001

Google Fonts zur Laufzeit geladen

Findet Einbindungen von fonts.googleapis.com/gstatic.com, bei denen die IP der Nutzer an Google geht.

RSC-PRV-002

US-Tracking ohne sichtbare Einwilligung

Erkennt Analytics- und Pixel-Skripte mit Drittland-Transfer im ausgelieferten Markup.

Häufige Fragen

Ist der Scan für Bubble-Apps kostenlos?: Ja. Der Außen-Scan ist vollständig kostenlos und anonym — ihr gebt nur die URL eurer Bubble-App ein.
Braucht decivo Zugang zu eurem Bubble-Account?: Nein. Der Scan prüft nur, was eure App öffentlich ausliefert. Tiefer geht es optional per read-only-Repo-Zugang oder nach einem Domain-Nachweis — beides ausdrücklich freiwillig.