Lovable GitHub: como baixar o código sem expor o .env

Lovable GitHub é a sincronização do projeto com um repositório novo, privado por padrão. Baixar o código, no plano pago, também pode ser um zip. O problema é o repositório público com chave: .env commitado ou service_role no código que vai para o navegador. Apagar o arquivo no commit seguinte não apaga o histórico do git.

Você não precisa do GitHub para publicar no endereço do Lovable. Precisa dele, ou do zip, quando for levar o app para a Vercel, a Hostinger ou outro host. A doc da integração está em GitHub. O deploy fora do Lovable está em hospedagem externa.

Passo a passo

1. Conecte o GitHub ou baixe o zip. Em Project settings, Git, GitHub, o Lovable cria um repositório novo e começa a sincronizar nos dois sentidos. O repositório nasce privado, em qualquer plano. Não dá para importar um repositório que já existe. No plano pago, Download codebase fica em Project settings, Git, ou no fim da árvore de arquivos do editor.

2. Confirme que o repositório continua privado. Ninguém vê o código no GitHub enquanto a visibilidade for privada. Quem muda isso é você, nas configurações do repositório. Público significa que qualquer pessoa lê o código e o histórico. Não troque para público para “mostrar o projeto”.

3. Procure chave no código e no histórico. A doc de deploy descreve um .env com a URL do Supabase e a chave publishable, que pode ir no navegador. O que não pode estar num repositório público é service_role, sb_secret_, sk-, sk_live_, AKIA ou ghp_, no .env ou no código do front. Apagar a linha num commit novo deixa os commits antigos. No clone, git log -S service_role --all mostra se essa string já passou. Se passou e o repo já foi público, gire a chave no painel de quem a emitiu. O que a URL publicada entrega está em como saber se a chave vazou.

4. Coloque o segredo na hospedagem, não no Git. Na Vercel ou na Hostinger, crie as variáveis no painel do projeto. A publishable pode ir no build do browser. A service_role, a senha de SMTP e as outras chaves secretas ficam só no servidor. Não commite um .env com esses valores. Domínio e Site URL, se o login ainda aponta para o preview: como publicar com domínio próprio.

5. Olhe o que a ferramenta não cobre. O Faro Check baixa a URL pública. Não clona repositório privado e não lê o histórico do git. O critério do app gerado está em Lovable é seguro?.

Prompt para colar

Copie e cole este prompt na ferramenta que você usa para criar o app

Mantenha o repositório privado. Tire do código e do histórico qualquer segredo (Supabase service_role ou sb_secret_, OpenAI sk-, Stripe sk_, AWS AKIA, token de GitHub). A chave publishable ou anon do Supabase pode ficar no client. As variáveis secretas ficam só no painel da hospedagem, na Vercel ou na Hostinger, não num .env commitado. Não imprima o valor das chaves. Mostre os arquivos alterados.

Escanear grátis

Perguntas frequentes

Como baixar o código do Lovable?

Pelo GitHub: Project settings, Git, GitHub cria um repositório novo e sincroniza. No plano pago, o zip é Download codebase, no mesmo lugar ou no editor. Os dois entregam o código do app, não os registros do banco.

O repositório do Lovable no GitHub é público?

Não por padrão. A doc diz que ele nasce privado, em qualquer plano, e só fica visível se você mudar a visibilidade no GitHub. Deixe privado.

Como levar o app do Lovable para a Vercel ou a Hostinger?

Conecte o repositório (ou suba o zip) no host e crie lá as variáveis de ambiente. Segredo não vai no Git. A chave publishable do Supabase pode ficar no browser. A service_role, não.

Apaguei o .env. A chave ainda pode ter vazado?

Sim, se o arquivo já entrou num commit e o repositório foi público. O histórico guarda a versão antiga. Gire a chave e só então apague a linha. Tornar o repo privado de novo não desfaz o que já foi copiado.