Sehen Ihre Nutzer fremde Daten? Prüfen Sie Ihren Prototyp selbst

Für Vibe Coder und Gründer, deren Prototyp aus Lovable, Bolt, Cursor oder Claude Code schon erste Nutzer hat. Öffnen Sie das Repository im Tool, fügen Sie den Prompt ein und lassen Sie den Agenten arbeiten. Das dauert etwa 10 Minuten.

Die KI schreibt heute unseren gesamten Code, und ein Senior verantwortet das Ergebnis. Diese sechs Bereiche prüfen wir als Erstes bei jedem Prototyp, den wir übernehmen.

1. Der Prompt

Der Prompt verbietet dem Agenten, etwas zu ändern oder Geheimnisse vollständig auszugeben.

Du bist Security-Reviewer. Geh dieses Repository durch und ändere nichts darin. Führe keine Befehle aus, die etwas schreiben, deployen oder sich mit der Produktion verbinden. Wenn du ein Geheimnis findest (Schlüssel, Passwort, Token), gib es nicht vollständig aus: nenne nur Datei, Zeile und die ersten 4 Zeichen.

Prüfe diese 6 Bereiche. Schreibe zu jedem STATUS (OK / PROBLEM / UNBEKANNT), NACHWEIS (Datei und Zeile, oder was fehlt) und WAS TUN (ein Satz).

1. Datenzugriff (RLS): Wenn die App Supabase, Firebase oder eine ähnliche Datenbank direkt aus dem Browser aufruft, hat jede Tabelle Row Level Security oder Security Rules aktiviert, die einen Nutzer nur an seine eigenen Zeilen lassen? Liste Tabellen ohne Regeln und Regeln, die alle durchlassen.
2. Schlüssel im Code: Gibt es im Repository oder in der Git-Historie Schlüssel, Passwörter oder Tokens? Steht .env in .gitignore? Steckt im Code, der im Browser läuft, ein Schlüssel, der dort nicht hingehört (Service-Role-Schlüssel, geheimer API-Schlüssel, Zahlungsschlüssel)?
3. Login und Berechtigungen: Prüft der Server bei jeder API-Route, wer angemeldet ist und ob er auf diese Daten zugreifen darf? Liste Routen, die Daten ohne Prüfung zurückgeben oder ändern. Wird die Rolle (zum Beispiel Admin) auf dem Server geprüft, oder nur durch einen ausgeblendeten Button in der Oberfläche?
4. Wo es läuft: Liegen Hosting, Datenbank und Domain auf einem Firmenkonto oder auf dem privaten Konto einer einzelnen Person? Suche Spuren in der Konfiguration (Projektnamen, E-Mails, URLs). Wenn du es aus dem Code nicht erkennst, schreibe UNBEKANNT und was ich fragen soll.
5. Backups: Ist ein regelmäßiges Datenbank-Backup eingerichtet, und ist irgendwo beschrieben, wie ein Backup wiederhergestellt wird?
6. Monitoring: Erfahren wir von einem Fehler in der Produktion früher als ein Nutzer? Suche nach Fehlererfassung, Logs und Alarmen.

Gib am Ende eine Tabelle aus: Bereich, Status, Schweregrad (KRITISCH / HOCH / MITTEL) und der wichtigste Schritt. KRITISCH ist alles, womit ein Fremder an fremde Daten oder Geheimnisse kommt. Sortiere die Tabelle nach dem größten Risiko und schreibe darunter die Zahl der Befunde je Schweregrad. Erfinde nichts: Was du im Code nicht siehst, markiere als UNBEKANNT.

2. So lesen Sie die Antwort

• Ein PROBLEM in den Bereichen 1 bis 3 lösen Sie vor weiteren Nutzern. Dort kommt ein Fremder am häufigsten an fremde Daten.
• UNBEKANNT ist nicht OK. Die Antwort steht nicht im Code. Fragen Sie, wer Zugang zu Hosting und Datenbank hat.
• Prüfen Sie mindestens einen Befund selbst. Öffnen Sie Datei und Zeile, die der Agent genannt hat. Steht dort nichts, erfindet der Agent etwas, und Sie nehmen die übrigen Befunde mit Vorsicht.
• Tauschen Sie jeden Schlüssel aus, der je im Repository war. Ihn aus dem Code zu löschen reicht nicht, er bleibt in der Historie.
• OK in allen sechs Bereichen heißt nicht, dass der Prototyp sicher ist. Der Prompt findet einen Teil der Probleme, nicht alle. Es heißt nur, dass die Grundlagen stehen.
• Stabilisieren oder neu schreiben? Wenn Sie wissen, was zu beheben ist, sagt Ihnen der Prototyp-Test, ob Korrekturen reichen.

3. Was die Prüfung gefunden hat

Haken Sie die Bereiche ab, in denen der Agent PROBLEM oder UNBEKANNT geschrieben hat.