Přeskočit na obsah

Bezpečnost prototypu z AI nástroje

Uvidí jeden zákazník data druhého?

Bezpečnost prototypu nad Supabase nebo Firebase ověříte osmi kontrolami. Uvidíte úroveň rizika, co opravit nejdřív a prompt, se kterým to agent zkontroluje ve vašem kódu.

Spustit kontroluNebo úvodní hovor na 15 minut
Za 2 minutyPrompt pro Cursor a Claude Code
Filip Papranec
Filip Papranec
zakladatel Digitaliko

Pošlete nám prototyp.

Prototyp z Lovable nebo Cursoru je dobrý začátek, ne ostuda. Pošlete nám odkaz na repo a stručně, co aplikace dělá. Do 10 pracovních dnů vám rovnou řekneme, jestli na něm stavět.

  1. 1Do dvou pracovních dnů se ozveme s datem začátku auditu. Píšete přímo lidem, kteří to postaví.
  2. 2Přístup ke kódu stačí jen pro čtení, na data zákazníků nesaháme.
  3. 3Verdikt máte do 10 pracovních dnů od přístupu ke kódu, první opravu jako PR ve vašem repu.

Nebo úvodní hovor na 15 minut

Uvidí jeden zákazník data druhého? Kontrola prototypu za 2 minutyKontrola s promptem pro agenta. Nic neodesíláte.

Zaškrtněte jen to, co jste ověřili. Kde nevíte, nechte prázdné. Pod výsledkem je prompt, se kterým to Cursor nebo Claude Code zkontroluje ve vašem kódu.

A. Data

B. Přihlášení

C. Tajemství

Nechte to zkontrolovat agenta

Vložte prompt do Cursoru nebo Claude Code v kořeni projektu. Agent nic nemění, jen vypíše nálezy se souborem a řádkem.

Zkontroluj bezpečnost tohoto projektu. Nic neměň, jen vypiš nálezy se souborem a řádkem.
1. Databáze: má každá tabulka zapnuté RLS (Supabase) nebo Security Rules (Firebase) s pravidlem na vlastníka záznamu? Vypiš tabulky bez pravidel a pravidla typu "true" nebo jen "auth.uid() is not null".
2. Kód pro prohlížeč: najdi proměnné s prefixem NEXT_PUBLIC_, VITE_, EXPO_PUBLIC_ a klíče v kódu. Je mezi nimi service_role, secret nebo klíč, který umí zapisovat?
3. Každá API route, server action a edge funkce: ověřuje přihlášení i vlastníka záznamu na serveru? Bere ID uživatele ze session, ne z těla požadavku?
4. Admin akce: ověřuje roli server, nebo jen skrytí tlačítka v UI?
5. Storage: jsou buckety se soubory zákazníků veřejné?
6. Repozitář: jsou v něm nebo v historii .env soubory nebo klíče? Spusť gitleaks, pokud je k dispozici.
Na konci seřaď nálezy od největšího rizika a u každého napiš opravu jednou větou.

Údaje z formuláře použijeme jen k odpovědi na vaši poptávku. Více v zásadách ochrany osobních údajů.

Časté otázky

Pro jaké aplikace je kontrola?
Pro aplikace z Lovable, Cursoru, Boltu nebo Claude Code s databází Supabase nebo Firebase, kde mají zákazníci vlastní data.
Nahrazuje to audit?
Ne. Kontrola ukáže nejčastější otevřené dveře. Audit projde celý kód, nasazení a zálohy a první opravu udělá přímo ve vašem repu.
Ukládáte moje odpovědi?
Ne. Kontrola běží jen ve vašem prohlížeči a nic neodesíláte. Na váš kód ani data nesaháme.