Lovable-App vor dem Launch sicher machen

Was Lovable dokumentiert

Lovable beschreibt zwei eingebaute Prüfungen: einen Quick Scan, der beim Veröffentlichen läuft (Datenbankzugriff, Abhängigkeiten, MCP-Server), und einen Deep Scan (unter anderem Zugriffskontrolle, ungeschützte Endpunkte, unsichere Eingaben, Secrets, Zahlungen, Authentifizierung).

Außerdem steht dort: API-Schlüssel und andere Geheimnisse lassen sich nicht sicher im Client-Code speichern; dafür gibt es die Funktion „Secrets“. Zugriffsregeln (Row Level Security) verwaltet ihr unter „More → Database → Manage → Policies“. Der Quick Scan prüft auf Tabellen ohne Zugriffskontrolle je Datensatz.

Was ihr vor dem Launch selbst prüft

Fünf Punkte, die ein Besucher von außen sehen kann:

• Steht im ausgelieferten Code ein Schlüssel, der nicht öffentlich sein darf?
• Ist Row Level Security auf jeder Tabelle aktiv, die Nutzerdaten enthält?
• Gibt es ein Impressum und eine Datenschutzerklärung?
• Lädt die Seite vor der Einwilligung Schriftarten oder Tracking von Drittanbietern?
• Sind Test- und Demo-Zugänge vor dem Launch entfernt oder geschützt?

Typische Fehler

Diese Fehler ergeben sich aus der Lovable-Doku:

• Sich auf die Scans verlassen. Lovable schreibt selbst, dass sie häufige Sicherheitsprobleme finden, aber keine vollständige Sicherheit garantieren und eine gründliche Prüfung nicht ersetzen.
• Nur den Quick Scan laufen lassen. Er läuft bei jedem Veröffentlichen und prüft eine feste Auswahl; die Prüfung von Zugriffskontrolle, Secrets, Zahlungen und Authentifizierung gehört laut Doku zum Deep Scan.
• Schlüssel in den Projekt-Chat einfügen oder im Code festschreiben. Lovable erkennt Schlüssel im Chat und verweist auf „Secrets“; legt sie dort ab.
• Die Zugriffsregeln nicht ansehen. Unter „More → Database → Manage → Policies“ seht ihr jede Policy eures Projekts.

Grenze dieses Ratgebers

Wir nennen hier nur, was Lovable dokumentiert. Wie sicher eure App ist, hängt davon ab, was ihr gebaut habt.

Häufige Fragen