Kiedy warto uporządkować aplikację z Lovable
- 01Pierwsi klienci płacąKażdy błąd w danych albo płatnościach kosztuje teraz zaufanie, a nie tylko czas.
- 02Większy klient zadaje pytaniaPyta, kto ma dostęp do danych, gdzie są kopie zapasowe i co się dzieje po awarii. Potrzebujesz konkretnych odpowiedzi.
- 03Kolejne zmiany psują to, co działałoPoprawka w jednym ekranie wywołuje błąd w innym i trudno powiedzieć dlaczego.
- 04Rośnie rachunek za AIKoszt zapytań do modeli rośnie szybciej niż liczba klientów.
Co zwykle znajdujemy w aplikacjach z Lovable
Lovable buduje backend na Supabase, także gdy korzystasz z Lovable Cloud. Ryzyka poniżej siedzą w konfiguracji tego backendu, a nie w wyglądzie aplikacji.
- 01Cudze dane dostępne z przeglądarkiRLS (Row Level Security) to reguły w bazie, które decydują, kto widzi który wiersz. Bez nich, albo z regułą wpuszczającą każdego, użytkownik odczyta dane innych klientów.Dla biznesu: wyciek danych i obowiązki z RODO.W kodzie: reguły tabel w Supabase i pliki w
supabase/migrations. - 02Uprawnienia sprawdzane tylko w interfejsiePrzycisk „Panel administratora” jest ukryty, ale baza przyjmie to samo żądanie od każdego zalogowanego. Albo rola siedzi w danych, które użytkownik zmienia sam, jak
user_metadata.Dla biznesu: zwykły klient może zrobić to, co Ty.W kodzie: warunki w komponentach React zamiast reguł RLS. - 03Sekretny klucz w kodzie przeglądarkiKlucz publiczny Supabase może być w przeglądarce, jeśli dane chroni RLS. Klucz serwisowy albo klucz do OpenAI czy Stripe już nie: każdy odczyta go z kodu strony.Dla biznesu: ktoś używa Twojego konta na Twój rachunek.W kodzie:
src/, zmienne trafiające do kodu strony (np. z prefiksemVITE_) i historia repozytorium. - 04Edge Functions otwarte dla każdegoEdge Function to kod backendu uruchamiany na serwerach Supabase, np. wysyłka maila albo zapytanie do AI. Funkcja bez sprawdzenia, kto ją wywołuje, i bez limitu wywołań wykona zadanie dla każdego, kto zna jej adres.Dla biznesu: rachunek za AI na Twój koszt.W kodzie:
supabase/functions/, zwłaszcza funkcje z kluczem serwisowym. - 05Płatności, które da się obejśćWebhook to powiadomienie, które np. Stripe wysyła do aplikacji po płatności. Bez sprawdzenia jego podpisu, albo gdy status „opłacone” da się zapisać z przeglądarki, płatny plan włącza się bez płacenia.Dla biznesu: płatne funkcje za darmo.W kodzie: funkcja obsługująca webhook i uprawnienia do tabeli subskrypcji.
Dlaczego tak się dzieje
Lovable doprowadził Cię do działającego produktu, z którego korzystają klienci. To realna wartość i dobry punkt wyjścia.
Generator buduje to, o co prosisz, a aplikację zwykle testuje się jednym kontem. Reguły dostępu zależą jednak od decyzji biznesowych, których nie ma w promptach: kto widzi czyje dane, co wolno klientowi, a co tylko Tobie.
Takie luki nie wychodzą przy testach jednym kontem. Wychodzą, gdy klientów przybywa, pojawiają się płatności i ktoś sprawdza, co zwraca API, czyli punkt, przez który aplikacja rozmawia z backendem.
Co dostajesz
- 01Listę ryzyk z priorytetemOd krytycznych po drobne, każde z plikiem, funkcją albo regułą, w której siedzi problem.
- 02Wyjaśnienie po ludzkuCo może się stać, kogo to dotyczy i co oznacza dla Twojego biznesu.
- 03Listę tego, co jest w porządkuSprawdzone obszary bez zastrzeżeń. Przydaje się, gdy klient pyta, co jest zabezpieczone.
- 04Plan naprawy ze stałą cenąKolejność prac i cenę znaną przed startem. Decyzja, co naprawiamy, należy do Ciebie.
Jak wygląda assessment
- 01 Podstawowy skan · 0 złKrótka rozmowa o produkcie, potem skan kodu i konfiguracji. Sposób przekazania dostępu ustalamy razem. Widzisz, co wymaga naprawy w pierwszej kolejności.
- 02 Pełny assessmentKażde ryzyko z miejscem w kodzie i wyjaśnieniem po ludzku. Cenę znasz po skanie, zanim zaczniemy.
- 03 Naprawa w stałej cenieNaprawiamy to, co ustalimy, w cenie podanej przed startem prac. Aktywne testy działającej aplikacji tylko po osobnym uzgodnieniu zakresu i autoryzacji.
Podstawowy skan: 0 zł. Pełny assessment i naprawę wyceniamy po skanie, stałą ceną, zanim zaczniemy pracę.
Dlaczego Exacting
- 01Budujemy systemy, które działają latamiNa przykład Kitsune Garage: 184 endpointy API, 79 testów automatycznych, automatyczne wdrożenia i codzienne kopie bazy. Wiemy, jak wygląda aplikacja gotowa na prawdziwy ruch.
- 02Sprawdzamy to, o co nikt nie zapytałAsystent AI dobrze sprawdzi to, o co go poprosisz. My szukamy ryzyk, o których nie wiesz, że trzeba o nie pytać.
- 03Mówimy wprostJeśli coś nie wymaga naprawy albo przepisanie się nie opłaca, usłyszysz to przed startem prac, razem z ceną.
Naprawa czy przepisanie?
Mówimy wprost, co się bardziej opłaca. Decydujemy po assessmencie, na podstawie kodu.
| Naprawa, gdy | Model danych pasuje do biznesu, a problemy siedzą w regułach RLS, kluczach, funkcjach i płatnościach. Takie rzeczy poprawia się punktowo, a aplikacja zostaje w Lovable. |
|---|---|
| Przepisanie, gdy | Dane różnych klientów leżą w tabelach bez pola właściciela, każda zmiana psuje coś innego albo produkt ma robić coś innego niż na starcie. Najpierw sprawdzamy, czy wystarczy przepisać jeden moduł. |
Częste pytania
Tak. Lovable synchronizuje projekt z repozytorium na GitHubie w obie strony, więc poprawki wprowadzone w repozytorium wracają do projektu. Migracji bazy i Edge Functions Lovable nie wdraża przy synchronizacji, dlatego ich wdrożenie ustalamy z Tobą.
Warto go uruchomić. Automatyczny skan wyłapuje wzorce, np. tabelę bez RLS. Nie wie jednak, kto w Twojej firmie powinien widzieć które dane ani jak działa Twój cennik. To sprawdzamy w kodzie, po rozmowie z Tobą.
Dla assessmentu niewiele. Lovable Cloud działa na Supabase, więc sprawdzamy to samo: tabele, reguły RLS, funkcje i sekrety. Zakres dostępu do konfiguracji ustalamy z Tobą przed startem.
Nie zawsze. Klucz publiczny (anon albo publishable) jest przeznaczony do przeglądarki, ale bezpieczny tylko wtedy, gdy tabele chronią reguły RLS. Klucz serwisowy (service_role albo secret) omija RLS i nie może trafić do przeglądarki.
Nie zawsze. Do skanu potrzebujemy kodu, np. z repozytorium na GitHubie, z którym Lovable się synchronizuje, a czasem wglądu w konfigurację bazy. Co dokładnie i w jakiej formie, ustalamy na pierwszej rozmowie.
Zacznij od darmowego skanu aplikacji z Lovable.
Zamów darmowy assessmentNazwy Lovable, Bolt, Cursor, Replit, v0 i Claude Code należą do ich właścicieli, a Exacting nie jest z nimi powiązany. Aktualizacja: październik 2026.