Čo vyplníte a zaškrtnete, ostáva len v tomto okne prehliadača. Nič neodosielame, kým si sami nenecháte poslať vyhodnotenie e-mailom. Po zatvorení stránky to zmizne, preto si výsledok vytlačte.
Pre vibe coderov a zakladateľov, ktorých prototyp z Lovable, Bolt, Cursoru alebo Claude Code už používajú prví ľudia. Otvorte repozitár v nástroji, vložte prompt a nechajte agenta pracovať. Trvá to okolo 10 minút.
AI dnes píše všetok náš kód a za výsledok zodpovedá senior. Týchto šesť oblastí kontrolujeme ako prvé pri každom prototype, ktorý preberáme.
1. Prompt
Prompt agentovi zakazuje čokoľvek meniť a vypisovať celé tajomstvá.
Si bezpečnostný reviewer. Prejdi tento repozitár a nič v ňom nemeň. Nespúšťaj príkazy, ktoré niečo zapisujú, nasadzujú alebo sa pripájajú k produkcii. Keď nájdeš tajomstvo (kľúč, heslo, token), nevypisuj ho celé: uveď len súbor, riadok a prvé 4 znaky.
Skontroluj týchto 6 oblastí. Pri každej napíš STAV (OK / PROBLÉM / NEVIEM), DÔKAZ (súbor a riadok, alebo čo chýba) a ČO UROBIŤ (jedna veta).
1. Prístup k dátam (RLS): ak aplikácia používa Supabase, Firebase alebo podobnú databázu volanú priamo z prehliadača, má každá tabuľka zapnuté Row Level Security alebo security rules, ktoré pustia používateľa len k jeho vlastným riadkom? Vypíš tabuľky bez pravidiel a pravidlá, ktoré púšťajú všetkých.
2. Kľúče v kóde: sú v repozitári alebo v git histórii kľúče, heslá či tokeny? Je .env v .gitignore? Je v kóde, ktorý beží v prehliadači, kľúč, ktorý tam nepatrí (service role kľúč, tajný API kľúč, kľúč k platbám)?
3. Prihlásenie a oprávnenia: overuje server pri každej API ceste, kto je prihlásený a či smie k týmto dátam? Vypíš cesty, ktoré vracajú alebo menia dáta bez kontroly. Overuje sa rola (napríklad admin) na serveri, alebo len skrytím tlačidla v rozhraní?
4. Kde to beží: sú hosting, databáza a doména na firemnom účte, alebo na osobnom účte jedného človeka? Hľadaj stopy v konfigurácii (názvy projektov, e-maily, URL). Ak to z kódu nezistíš, napíš NEVIEM a čo sa mám opýtať.
5. Zálohy: je nastavené pravidelné zálohovanie databázy a je niekde opísané, ako sa záloha obnoví?
6. Monitoring: dozvieme sa o chybe v produkcii skôr ako používateľ? Hľadaj zachytávanie chýb, logy a upozornenia.
Na konci daj tabuľku: oblasť, stav, závažnosť (KRITICKÉ / VYSOKÉ / STREDNÉ) a najdôležitejší krok. KRITICKÉ je všetko, čím sa cudzí človek dostane k cudzím dátam alebo k tajomstvám. Zoraď tabuľku od najväčšieho rizika a pod ňu napíš počet nálezov podľa závažnosti. Nič si nevymýšľaj: čo v kóde nevidíš, označ NEVIEM.2. Ako čítať odpoveď
- PROBLÉM v oblastiach 1 až 3 riešte pred ďalšími používateľmi. Tam sa najčastejšie dostane cudzí človek k cudzím dátam.
- NEVIEM nie je OK. Znamená, že odpoveď nie je v kóde. Opýtajte sa toho, kto má prístup k hostingu a databáze.
- Overte aspoň jeden nález sami. Otvorte súbor a riadok, ktorý agent uviedol. Ak tam nič nie je, agent si vymýšľa a ostatné nálezy berte opatrne.
- Kľúč, ktorý už bol v repozitári, vymeňte. Zmazať ho z kódu nestačí, ostáva v histórii.
- OK vo všetkých šiestich neznamená, že je prototyp bezpečný. Prompt nájde časť problémov, nie všetky. Znamená len, že základy sú na mieste.
- Spevniť, alebo prepísať? Keď viete, čo opraviť, test prototypu vám povie, či opravy stačia.
3. Čo vám kontrola našla
Zaškrtnite oblasti, kde agent napísal PROBLÉM alebo NEVIEM.
Ďalšie nástroje pre vás
12 otázok o dátach, nasadení, testoch a kóde. Verdikt: spevniť, opraviť najslabšiu oblasť, alebo prepísať jadro.
Prihlásenie, dáta, nasadenie a vlastníctvo: čo skontrolovať, kým aplikáciu pustíte ľuďom.