Saltar al contenido

Seguridad de un prototipo hecho con IA

¿Puede un cliente ver los datos de otro?

La seguridad de su prototipo sobre Supabase o Firebase la comprueba con ocho controles. Verá el nivel de riesgo, qué corregir primero y un prompt con el que el agente lo revisa en su código.

Empezar el controlO una llamada introductoria de 15 minutos
En 2 minutosPrompt para Cursor y Claude Code
Filip Papranec
Filip Papranec
fundador de Digitaliko

Envíenos su prototipo.

Un prototipo de Lovable o Cursor es un buen comienzo, no algo de lo que avergonzarse. Envíenos el enlace al repositorio y, en pocas líneas, qué hace la aplicación. En 10 días hábiles le decimos claramente si se puede construir sobre él.

  1. 1En dos días hábiles le respondemos con una fecha de inicio de la auditoría. Escribe directamente a las personas que lo van a construir.
  2. 2Basta con acceso de lectura al código; no tocamos los datos de sus clientes.
  3. 3El veredicto lo tiene en 10 días hábiles desde el acceso al código, y la primera corrección como PR en su repositorio.

O una llamada introductoria de 15 minutos

¿Puede un cliente ver los datos de otro? Control del prototipo en 2 minutosControl con un prompt para el agente. No se envía nada.

Marque solo lo que haya comprobado. Donde no lo sepa, déjelo en blanco. Debajo del resultado hay un prompt con el que Cursor o Claude Code lo revisan en su código.

A. Datos

B. Inicio de sesión

C. Secretos

Deje que lo revise el agente

Pegue el prompt en Cursor o Claude Code en la raíz del proyecto. El agente no cambia nada, solo lista los hallazgos con archivo y línea.

Revisa la seguridad de este proyecto. No cambies nada, solo lista los hallazgos con archivo y línea.
1. Base de datos: ¿cada tabla tiene RLS activado (Supabase) o Security Rules (Firebase) con una regla sobre el propietario del registro? Lista las tablas sin reglas y las reglas del tipo "true" o solo "auth.uid() is not null".
2. Código del navegador: busca variables con el prefijo NEXT_PUBLIC_, VITE_, EXPO_PUBLIC_ y claves en el código. ¿Hay entre ellas una service_role, un secret o una clave que pueda escribir?
3. Cada ruta de API, server action y edge function: ¿comprueba en el servidor el inicio de sesión y el propietario del registro? ¿Toma el ID del usuario de la sesión y no del cuerpo de la petición?
4. Acciones de administración: ¿comprueba el rol el servidor, o solo se oculta el botón en la UI?
5. Storage: ¿son públicos los buckets con archivos de clientes?
6. Repositorio: ¿hay en él o en su historial archivos .env o claves? Ejecuta gitleaks si está disponible.
Al final, ordena los hallazgos del mayor riesgo al menor y escribe para cada uno la corrección en una frase.

Usamos los datos del formulario solo para responder a su consulta. Más información en nuestra política de privacidad.

Preguntas frecuentes

¿Para qué aplicaciones es este control?
Para aplicaciones hechas con Lovable, Cursor, Bolt o Claude Code con base de datos en Supabase o Firebase, en las que los clientes tienen sus propios datos.
¿Sustituye a una auditoría?
No. El control muestra las puertas abiertas más habituales. Una auditoría revisa todo el código, el despliegue y las copias de seguridad, y hace la primera corrección directamente en su repositorio.
¿Guardan mis respuestas?
No. El control funciona solo en su navegador y no se envía nada. No tocamos ni su código ni sus datos.