A tua app foi feita com Lovable ou Bolt? Os 6 problemas que mais encontramos em produção

Uma app feita com IA tem uma vantagem enorme: chega a produção em dias, não em meses. E tem uma desvantagem que só aparece mais tarde: ninguém olhou para ela como um todo. A ferramenta gerou ecrã a ecrã, pedido a pedido — e cada pedido funcionou.

Quando auditamos apps feitas com Lovable, Bolt, Cursor ou v0, os problemas raramente estão no que se vê. Estão nas ligações entre as partes. Estes são os seis que mais encontramos.

1. Dados de um cliente visíveis para outro

Em apps com várias empresas ou contas, cada cliente só devia ver os seus dados. Quando a base de dados é Supabase, essa separação vive nas regras de acesso (RLS). A IA cria tabelas depressa — e as regras ficam em falta, demasiado permissivas ou a confiar num valor que o próprio utilizador envia.

Numa plataforma financeira que corrigimos, fechámos 16 fugas destas antes do primeiro cliente real.

2. Utilizadores que se promovem a administrador

A IA gera endpoints que atualizam "o perfil do utilizador". Se o endpoint aceita qualquer campo, um utilizador comum pode mudar o seu próprio papel para administrador.

3. Base de dados aberta ao mundo

A chave pública do Supabase ou do Firebase foi feita para estar no browser. Só é segura porque as regras de acesso decidem o que cada pedido pode ler. Sem regras — ou com regras do tipo "permitir tudo" para "desbloquear" um erro durante o desenvolvimento — qualquer pessoa com a chave lê, altera ou apaga os dados de todas as tabelas expostas.

4. Erros que fingem ser "sem dados"

Um padrão muito comum: um pedido falha, mas a app mostra "ainda não tens registos". O utilizador pensa que não há nada, o fundador pensa que ninguém usa a funcionalidade — e o erro passa meses sem ser visto.

5. Lentidão que só aparece com clientes reais

Com dez registos, tudo é rápido. Com dez mil, consultas sem índices e lógica que corre linha a linha tornam a app lenta — e, em Supabase, regras de acesso mal escritas pesam em cada consulta. Numa auditoria recente encontrámos dezenas de chaves estrangeiras sem índice.

6. Sem testes nem pipeline de CI

A IA corrige o que lhe pedes, mas não sabe o que vai partir noutro sítio. Sem testes automáticos, cada correção é uma aposta — e o mesmo problema volta duas semanas depois.

O que fazer se reconheces a tua app aqui

Nenhum destes problemas obriga a deitar a app fora. A ordem que seguimos é sempre a mesma:

Saber o que está em risco — uma auditoria ao código, à arquitetura e às regras de acesso, com os achados por severidade.
Corrigir o crítico primeiro — fugas de dados e permissões antes de tudo o resto.
Garantir que não volta — testes às regras de acesso e uma pipeline que os corre em cada alteração.

Construir com IA é uma vantagem real. Pôr em produção sem ninguém olhar para o todo é onde ela se perde.

Se a tua app foi feita com IA e já tem utilizadores, fala connosco — em 30 minutos dizemos-te se precisa mesmo de uma auditoria.

Ver também: Auditoria e correção de apps feitas com IA.