Przejdź do treści

Bezpieczeństwo prototypu z narzędzia AI

Czy jeden klient zobaczy dane drugiego?

Bezpieczeństwo prototypu na Supabase lub Firebase sprawdzą Państwo ośmioma kontrolami. Zobaczą Państwo poziom ryzyka, co naprawić najpierw i prompt, z którym agent sprawdzi to w Państwa kodzie.

Uruchom kontrolęAlbo 15-minutowa rozmowa wstępna
W 2 minutyPrompt dla Cursora i Claude Code
Filip Papranec
Filip Papranec
założyciel Digitaliko

Proszę przesłać nam prototyp.

Prototyp z Lovable lub Cursora to dobry początek, nie powód do wstydu. Proszę przesłać link do repozytorium i krótko opisać, co robi aplikacja. W ciągu 10 dni roboczych powiemy wprost, czy na nim budować.

  1. 1W ciągu dwóch dni roboczych odezwiemy się z datą startu audytu. Piszą Państwo bezpośrednio do ludzi, którzy to zbudują.
  2. 2Wystarczy dostęp do kodu tylko do odczytu, danych klientów nie dotykamy.
  3. 3Werdykt mają Państwo w ciągu 10 dni roboczych od dostępu do kodu, a pierwszą poprawkę jako PR w Państwa repozytorium.

Albo 15-minutowa rozmowa wstępna

Czy jeden klient zobaczy dane drugiego? Kontrola prototypu w 2 minutyKontrola z promptem dla agenta. Niczego Państwo nie wysyłają.

Proszę zaznaczyć tylko to, co Państwo sprawdzili. Gdzie nie znają Państwo odpowiedzi, proszę zostawić puste. Pod wynikiem jest prompt, z którym Cursor albo Claude Code sprawdzi to w Państwa kodzie.

A. Dane

B. Logowanie

C. Sekrety

Proszę zlecić sprawdzenie agentowi

Proszę wkleić prompt do Cursora albo Claude Code w katalogu głównym projektu. Agent niczego nie zmienia, tylko wypisuje ustalenia z plikiem i linią.

Sprawdź bezpieczeństwo tego projektu. Niczego nie zmieniaj, tylko wypisz ustalenia z plikiem i linią.
1. Baza danych: czy każda tabela ma włączone RLS (Supabase) albo Security Rules (Firebase) z regułą na właściciela rekordu? Wypisz tabele bez reguł i reguły typu "true" albo tylko "auth.uid() is not null".
2. Kod dla przeglądarki: znajdź zmienne z prefiksem NEXT_PUBLIC_, VITE_, EXPO_PUBLIC_ i klucze w kodzie. Czy jest wśród nich service_role, secret albo klucz z prawem zapisu?
3. Każda API route, server action i edge function: czy sprawdza na serwerze logowanie i właściciela rekordu? Czy bierze ID użytkownika z sesji, a nie z treści żądania?
4. Akcje admina: czy rolę sprawdza serwer, czy tylko ukrycie przycisku w UI?
5. Storage: czy buckety z plikami klientów są publiczne?
6. Repozytorium: czy są w nim albo w historii pliki .env lub klucze? Uruchom gitleaks, jeśli jest dostępny.
Na koniec uszereguj ustalenia od największego ryzyka i przy każdym napisz poprawkę w jednym zdaniu.

Dane z formularza wykorzystamy wyłącznie do odpowiedzi na Państwa zapytanie. Więcej w zasadach ochrony danych osobowych.

Najczęstsze pytania

Dla jakich aplikacji jest ta kontrola?
Dla aplikacji z Lovable, Cursora, Bolta albo Claude Code z bazą danych Supabase lub Firebase, w których klienci mają własne dane.
Czy to zastępuje audyt?
Nie. Kontrola pokaże najczęściej otwarte drzwi. Audyt przechodzi cały kod, wdrożenie i kopie zapasowe, a pierwszą poprawkę robi bezpośrednio w Państwa repozytorium.
Czy zapisujecie moje odpowiedzi?
Nie. Kontrola działa tylko w Państwa przeglądarce i niczego Państwo nie wysyłają. Państwa kodu ani danych nie dotykamy.