Wrzucić coś szybko na produkcję to nic złego, ale zanim otworzysz swoją aplikację dla całego świata, warto przejrzeć krótką listę. Nic z tego nie wymaga bycia ekspertem od bezpieczeństwa, a wszystko da się sprawdzić z zewnątrz w kilka minut. Oto co naprawdę ma znaczenie, dlaczego każdy z tych punktów potrafi zaboleć i jak to naprawić.
Jak atakujący znajdują te luki w kilka minut
Większość włamań do aplikacji zbudowanych przez AI to nie żadne sprytne hacki. Ktoś wchodzi na twoją stronę, wciska F12, czyta JavaScript, który twoja aplikacja i tak już wysłała do jego przeglądarki, i kopiuje URL, który twoja aplikacja i tak już wywołuje. Automatyczne skanery robią to samo na masową skalę, uderzając w typowe ścieżki jak /.env czy /.git na tysiącach stron dziennie. Wszystko poniżej to coś, co mogą sprawdzić bez żadnego dostępu do twojego kodu, i właśnie dlatego ty powinieneś sprawdzić to jako pierwszy.
1. Żadnych sekretów we frontendzie
Klucze API i tokeny mają miejsce wyłącznie na serwerze. Kiedy asystent AI „podłącza" jakąś usługę, często wrzuca klucz prosto do kodu klienta, gdzie każdy może go odczytać w DevTools. Wyciekły klucz Stripe sk_live_ może przelewać prawdziwe pieniądze, a klucz Supabase service_role oddaje w cudze ręce całą twoją bazę danych. Trzymaj tajne klucze w zmiennych środowiskowych na serwerze i udostępniaj tylko klucze publiczne przeznaczone dla przeglądarki. Zobacz sekrety, które twoja aplikacja ujawnia w przeglądarce.
2. HTTPS i nagłówki bezpieczeństwa
Serwuj wszystko przez HTTPS i przekierowuj HTTP na nie, żeby nikt nie mógł odczytać ani zmodyfikować ruchu. Potem dodaj nagłówki, których przeglądarki używają, by chronić twoich użytkowników: Content-Security-Policy, żeby powstrzymać ataki typu injection, Strict-Transport-Security, żeby wymusić HTTPS, oraz X-Frame-Options, żeby zablokować clickjacking. Większość generowanych aplikacji domyślnie nie ma żadnego z nich. Zobacz nagłówki bezpieczeństwa HTTP w praktyce.
3. Reguły bazy danych (RLS) na każdej tabeli
Jeśli używasz Supabase albo Firebase, twoja aplikacja rozmawia z bazą danych bezpośrednio z przeglądarki, więc reguły bazy to jedyne, co dzieli odwiedzającego od twoich danych. Włącz Row-Level Security na każdej tabeli (nie tylko tych ważnych) z polityką odrzucającą wszystko domyślnie i nigdy nie licz na to, że ukrycie przycisku w interfejsie coś załatwi. Bez tego każdy, kto ma klucz publiczny, czyta i zapisuje w twoich tabelach bez logowania, i to dokładnie ten błąd stoi za podatnością RLS w Lovable.
4. Żadnych wystawionych wrażliwych plików
Upewnij się, że .env, .git, kopie zapasowe bazy danych i source mapy nie są osiągalne z przeglądarki. To zaskakująco częste: pojedyncze zapytanie do /.env potrafi oddać każdy sekret, którego używa twoja aplikacja, a opublikowane source mapy pozwalają każdemu odtworzyć twój oryginalny kod. Zablokuj je w konfiguracji hostingu albo frameworka.
5. Zablokowany CORS
Zbyt luźna polityka CORS, która odbija dowolny origin razem z poświadczeniami, pozwala złośliwej stronie odczytać dane twoich użytkowników przy użyciu ich sesji. Ogranicz dozwolone originy do domen, które faktycznie kontrolujesz, i nigdy nie łącz Access-Control-Allow-Origin: * z poświadczeniami.
6. Poprawnie skonfigurowane ciasteczka i sesje
Ciasteczka sesyjne powinny mieć Secure (tylko HTTPS), HttpOnly (nieodczytywalne z JavaScript, więc XSS ich nie ukradnie) oraz SameSite (broni przed CSRF). Te trzy atrybuty to jedna linijka konfiguracji, a zamykają całą klasę błędów pozwalających przejąć konto.
Twoja 2-minutowa checklista przed startem
- Żadnych
sk_live_,service_roleani prywatnych kluczy w twoim JavaScript. - Wymuszony HTTPS, z ustawionymi CSP, HSTS i X-Frame-Options.
- Row-Level Security na każdej tabeli bazy danych.
.env,.git, kopie zapasowe i source mapy nieosiągalne.- CORS ograniczony do twoich własnych originów, bez wildcardu z poświadczeniami.
- Ciasteczka z Secure, HttpOnly i SameSite.
Po prostu to zrób
Zamiast sprawdzać to wszystko ręcznie, uruchom Scanaris: weryfikuje te punkty i jakieś 40 dodatkowych na twojej działającej stronie w 30 sekund, sortuje wyniki według wpływu i daje ci gotowy do wklejenia prompt, żeby naprawić każdy z nich za pomocą twojego AI, zanim znajdzie je ktoś inny.