ScanYourSite

Seu app Lovable está pronto para usuários de verdade?

Apps do Lovable são React mais Supabase, e a maioria dos problemas mora entre os dois: o que vai parar no bundle do navegador e o que o banco deixa qualquer um ler. Cole a URL do Lovable ou do seu domínio próprio e veja o que corrigir antes de compartilhar o link.

Grátis, sem cadastro. A análise básica faz apenas as requisições que um navegador comum faria.

Ver um relatório completo de exemplo

O que verificamos em um app Lovable

Verifique você mesmo em dez minutos

Você não precisa da gente para achar o pior. Veja como verificar um app Lovable na mão — e o que cada resultado significa.

  1. Veja a chave do Supabase no seu código

    Abra o arquivo gerado do cliente Supabase (normalmente src/integrations/supabase/client.ts) e procure em todo o projeto por service_role e sb_secret_. No app só deve estar a chave anon ou publishable.

    service_role
sb_secret_

  2. Decodifique a chave que o site no ar realmente entrega

    Abra seu site no ar e depois DevTools → Console. Cole a chave que aparece na aba Network (o cabeçalho apikey de qualquer requisição para supabase.co) e decodifique. "role": "anon" está ok; "service_role" significa gerar uma nova chave agora.

    JSON.parse(atob("<the key>".split(".")[1])).role

  3. Rode o Security Advisor do Supabase

    Painel do Supabase → Advisors → Security Advisor. Qualquer tabela listada com Row Level Security desativado pode ser lida por qualquer pessoa com a chave anon.

  4. Confira o que a prévia de um link mostra

    Abra sua URL com view-source: na frente. Se o <title> ainda for o do template e não houver meta description, buscadores e apps de chat também veem isso. Edite o index.html.

    view-source:https://your-app.lovable.app

Cole a correção direto no Lovable

Cada relatório termina com um prompt escrito para uma ferramenta de IA: o que está errado, em qual arquivo e como verificar se a correção funcionou. Cole no chat do Lovable.

Corrija estes problemas em myapp.lovable.app. Localize cada um antes de mudar qualquer coisa.

1. Há uma chave service_role do Supabase em assets/index-8a1d.js.
   Mova as consultas que precisam dela para uma Supabase Edge Function, gere uma nova chave no painel do Supabase e mantenha só a anon key no app.

2. A página não tem meta description após a renderização.
   Adicione uma descrição e tags Open Graph no index.html.

Ao terminar, verifique de novo: https://scanyoursite.app/pt?check=myapp.lovable.app

Cada edição no Lovable é um deploy

Um prompt pode reescrever metade do app. Com o Pro, percebemos cada nova versão e verificamos em minutos — o site está no ar, alguma chave voltou para o bundle? — e só escrevemos quando há algo novo errado.

Ver planos

Perguntas

Funciona em um subdomínio lovable.app?

Sim, e em domínio próprio também. Verificações avançadas, como a das tabelas, precisam de uma prova de que o domínio é seu, e essa prova só pode ser dada em um domínio que você controla.

A verificação de tabelas vai mudar meus dados?

Não. Ela envia uma requisição HEAD por tabela com sua anon key pública para contar as linhas legíveis. Nunca lê o conteúdo das linhas e nunca grava nada.

A anon key no meu bundle é um problema?

Não, ela foi projetada para ser pública. O perigo é a chave service_role ou secret, ou tabelas sem Row Level Security — é isso que procuramos.

Para vibe coders

Cole sua URL. Receba a lista em cerca de um minuto.

Cada achado vem com o que ele significa para você e como corrigir — ou com um prompt que sua ferramenta de IA pode aplicar.

Grátis, sem cadastro. A análise básica faz apenas as requisições que um navegador comum faria.