Zum Inhalt springen

Lovable Sicherheit prüfen

Ist eure Lovable-App produktionsreif?

Kostenloser, plattformunabhängiger Scan speziell für Lovable-Apps. Er prüft die für Lovable typischen Lücken — Zugriffsschutz, sichtbare Schlüssel, DSGVO — und liefert ein nachvollziehbares Go/Iterate/Stop-Verdikt mit versionierten Regel-Codes.

Lovable-App jetzt kostenlos prüfen

Typische Schwachstellen bei Lovable-Apps

Lovable-Apps laufen fast immer auf Supabase. Die zwei häufigsten kritischen Lücken: Tabellen ohne Row Level Security (offene Datenbank) und ein im Browser sichtbarer service_role-Schlüssel.

Diese Regeln gewichtet der Scan bei Lovable

RSC-SEC-010

Supabase service_role-Schlüssel im Client

Dekodiert JWTs im Bundle und meldet den Rollen-Claim `service_role`, der RLS vollständig umgeht.

RSC-SEC-015

Datenbank-Tabellen der anon-Rolle zugeteilt

Fragt mit dem von der App selbst veröffentlichten Client-Schlüssel den Schema-Endpunkt ab und listet die Tabellen, die der anon-Rolle zugeteilt sind — ohne einen Datensatz oder eine Zeilenzahl abzurufen. Zugeteilt heißt noch nicht lesbar: ob Zeilen herauskommen, entscheidet Row Level Security.

RSC-SEC-018

Geschützter Bereich nur im Browser abgesichert

Erkennt Admin-/Konto-Routen, die der Client-Router kennt, deren Schutz aber ausschließlich als Bedingung im Bundle steht — wer die URL kennt, ist drin.

RSC-SEC-050

Tabellen ohne Row Level Security

Sammelt alle `create table` und alle `enable row level security` über sämtliche Migrationen und meldet Tabellen, die nie geschützt werden.

RSC-SEC-051

RLS-Policy erlaubt allen Zugriff

Findet Policies mit `using (true)` — RLS ist aktiv, wirkt aber nicht.

RSC-PRV-001

Google Fonts zur Laufzeit geladen

Findet Einbindungen von fonts.googleapis.com/gstatic.com, bei denen die IP der Nutzer an Google geht.

RSC-PRV-002

US-Tracker im ausgelieferten Code eingebunden

Erkennt Analytics- und Pixel-Skripte mit Drittland-Transfer (Google Analytics/Tag Manager, Meta Pixel, Hotjar, Segment) im ausgelieferten Markup. Ob sie erst nach der Einwilligung laden, prüft diese Regel nicht — das belegt die Browser-Prüfung (RSC-PRV-005).

Nach dem Scan: eine Empfehlung mit Preis.

Welcher Weg passt, steht in eurem Scan-Ergebnis. Ihr müsst das nicht selbst entscheiden.

  • Sofort-Absicherung

    540 €Festpreis, einmalig, netto

    Wir schließen alle offenen Sicherheits- und Datenschutzlücken mit hoher Schwere aus eurem Scan. Lieferung in Tagen, Abnahme per Rescan.

    Für alle mit offenen Lücken hoher Schwere, egal welches Verdikt.

    Scan starten

  • Reparaturplan

    349 €netto, einmalig

    Projektspezifischer Plan zum Selbstreparieren: Fundstellen, Reihenfolge und ein fertiger Prompt je Fix-Einheit. Ob es sitzt, zeigt der nächste Rescan.

    Voraussetzung: der Repository-Scan, kostenlos.

    Scan starten

  • Reparatur und Stabilisierung

    ab 1.090 €netto, Festpreis aus eurem Scan

    Wir setzen alle Fix-Einheiten um und stabilisieren, was daran hängt, Architektur-Befunde eingeschlossen. Abnahme per Rescan.

    Verbindlich nach dem Repository-Scan.

    Scan starten

  • Neubau

    ab 12.500 €Preis nach gemeinsamer Prüfung

    Neue Basis als Code Prototype. Der Bestand wird übernommen, wo er trägt.

    Bei Verdikt Stop. Ein Gespräch mit Blick auf euren Bestand bestätigt das vorher.

    Gespräch vereinbaren

Die Sofort-Absicherung wird auf einen Neubau angerechnet (90 Tage). Die Reparatur rechnet immer mit dem aktuellen Stand eures Scans. Alle Preise netto, zzgl. MwSt. Auf jede Anfrage melden wir uns innerhalb von 24 Stunden.

Häufige Fragen

Ist der Scan für Lovable-Apps kostenlos?

Ja. Der Außen-Scan ist vollständig kostenlos und anonym — ihr gebt nur die URL eurer Lovable-App ein.

Braucht decivo Zugang zu eurem Lovable-Account?

Nein. Der Scan prüft nur, was eure App öffentlich ausliefert. Tiefer geht es optional per read-only-Repo-Zugang oder nach einem Domain-Nachweis — beides ausdrücklich freiwillig.