Checklist antes de subir seu app feito com IA

Antes de subir o app, confira seis coisas: HTTPS no endereço final, nenhuma chave secreta no JavaScript, RLS ligado nas tabelas com dado de pessoa, /.env e /.git fechados, política de privacidade no rodapé e Pix confirmado no servidor. Se isso passa, dá para ficar mais tranquilo. O resto é melhoria, não motivo para travar o lançamento.

“Subir” aqui é publicar de verdade: o link que você vai mandar. Preview não conta.

Passo a passo

1. HTTPS no domínio que o cliente abre. Cadeado válido, sem aviso de certificado. Se você acabou de apontar o DNS, espere o certificado antes de divulgar. O passo a passo do domínio está em como publicar com domínio próprio.

2. Nenhuma chave secreta no que o navegador baixa. OpenAI, Anthropic, Stripe sk_ ou rk_, Supabase service_role, AWS, GitHub, Resend. A chave anon do Supabase e a publishable da Stripe podem ficar. Se uma secreta apareceu, revogue no painel e gere outra. Apagar o arquivo no GitHub não apaga a chave que já vazou.

3. RLS ligado e com política. Cada tabela com e-mail, pedido ou arquivo precisa de RLS on. Política using (true) em dado de usuário é tabela aberta. O erro new row violates row level security policy é o sinal de que a política existe e está estreita demais, não de que você deve desligar.

4. /.env e /.git/config respondem 404. Abra os dois caminhos na URL publicada. Se o arquivo abrir, tire da hospedagem e troque toda chave que estava dentro. Source map com o fonte completo também entrega o que você achou que ficou só no servidor.

5. Política de privacidade e termos em português. Link visível no rodapé, dizendo o que você coleta (conta, pagamento) e para quem envia (Supabase, o provedor do Pix). Isso não é o texto inteiro da LGPD. É o mínimo para não lançar no escuro. A ANPD explica o básico em gov.br/anpd.

6. Pix confirmado fora da tela. A página de obrigado pode ser aberta por quem não pagou. Quem libera plano ou crédito é o webhook, no servidor, conferindo a assinatura do Mercado Pago, Asaas, AbacatePay ou Efí. A chave secreta desse webhook não vai para o JavaScript.

Vai colocar Pix e tem medo de fazer errado?

O medo faz sentido. App feito com IA costuma marcar o pedido como pago no clique, ou confiar num retorno que o navegador controla. O conserto é um só: o provedor chama uma URL sua, você valida a assinatura e só então grava “pago”. Se não sabe onde está essa URL, não ligue o Pix para cliente ainda. Dá para lançar o resto do app e deixar a cobrança para o dia em que o webhook existir.

Acabaram os créditos no meio disso? Pare de pedir “integra o Pix” em abstrato. Diga o provedor, o nome do evento e que a liberação só acontece depois da assinatura válida.

Perguntas frequentes

O que conferir antes de colocar no ar?

Os seis itens acima, na URL final. O scan grátis do Faro Check cobre o que está público (chave, cabeçalho, /.env, link de privacidade, pista de Supabase). RLS e webhook de Pix você confirma no painel, porque um visitante honesto não deve conseguir testar isso.

Preciso de um dev para lançar?

Não, se os seis itens fecham e você entende quem pode ver cada tabela. Precisa se há dinheiro de terceiro, dado sensível, ou uma regra de acesso que você não consegue explicar em uma frase. Uma segunda opinião paga existe para esse caso. Para o erro de RLS do cadastro, o guia específico resolve sem dev.

Vai colocar Pix e tem medo de fazer errado?

Confirme o pagamento no webhook, com a assinatura do provedor, e não mostre o segredo no front. Enquanto isso não estiver claro, não cobre. Medo aqui é um bom sinal, não um motivo para esconder a cobrança atrás de uma tela bonita.

Lovable é seguro o bastante para eu subir hoje?

Se o scan da URL final não achar chave secreta nem arquivo aberto, e você viu o RLS ligado, pode subir. Leia Lovable é seguro? se ainda está na dúvida do que a ferramenta cobre.