O Firebase é cómodo porque liga a tua app a uma base de dados sem backend, mas essa comodidade é também a armadilha: a segurança depende quase por completo das regras que escreves. Estes são os erros que mais aparecem.
Deixar as regras em modo teste
Ao criar o Firestore ou o Realtime Database, o Firebase oferece um modo de teste que permite leitura e escrita a toda a gente durante um tempo. É cómodo para começar, mas muita gente lança com essas regras postas. O resultado: qualquer um pode ler e modificar toda a tua base de dados a partir da consola do navegador.
Antes de lançar, muda as regras para exigir autenticação e limitar cada utilizador aos seus próprios dados.
Confundir chave pública com segurança
A configuração do Firebase que colas no frontend (apiKey, projectId, etc.) é pública por design e não é um segredo. Isso confunde muita gente: pensam que, por ir no cliente, o Google a protege. Não é assim. O que protege os teus dados são as regras de segurança, não esconder essa chave. Assumir o contrário leva a bases de dados abertas.
Regras que permitem ler tudo
Uma regra como allow read: if true deixa as tuas coleções abertas a qualquer um. O erro clássico é querer que a app funcione e afrouxar as regras até deixar de dar erros, sem voltar a apertá-las. Escreve regras por coleção: comprova request.auth e compara o utilizador com o proprietário do documento.
Dados sensíveis em documentos legíveis
Mesmo que exijas login, revê o que guardas. Emails, papéis de administrador ou flags internas em documentos que qualquer utilizador autenticado pode ler continuam a ser uma fuga. Separa o privado em coleções com regras mais estritas e não confies que ninguém vai olhar.
Outras chaves escondidas no bundle
A config do Firebase é pública, mas costuma vir acompanhada de outras chaves que não são: tokens de serviços de pagamento, correio ou IA. Essas sim são secretas e não devem acabar no JavaScript do navegador. A IA às vezes incrusta-as para fazer algo funcionar no momento.
O Scanaris deteta o que ficou exposto
O Scanaris faz comprovações de só leitura sobre o teu site publicado: procura chaves e segredos expostos no frontend, ficheiros sensíveis acessíveis e configuração fraca de cabeçalhos. Não explora nada; só olha para o que já é público e avisa-te. Cada achado vem com um prompt para o arranjares na tua IA. Escaneia a tua app antes que o faça outro.