Atrapá las fugas antes de que te atrapen.
Pegá el enlace de la app que hiciste con Lovable, Bolt, v0, Replit o Cursor. La miramos desde afuera — igual que lo haría un visitante curioso — y te contamos en palabras simples qué queda expuesto y cómo arreglarlo.
Pensado para apps hechas con
Sin saber hackear. Sin herramientas especiales. Solo un navegador común y dos minutos de curiosidad.
const supabase = createClient(SB_URL, SB_ANON);
export function askAI(q) {
return fetch("https://api.openai.com/v1/chat", {
headers: { Authorization: "Bearer " + "sk-proj-Qm7v…2xLa" },
body: JSON.stringify({ q }),
});
}Minuto 0
El navegador de cada visitante descarga el código de tu app. Así funcionan las webs.
Minuto 1
El código está a un clic. Cualquiera puede buscar palabras como “key” o “secret”.
Minuto 2
Una clave secreta pegada en el frontend funciona para quien la copie — no solo para vos.
El mes que viene
Alguien gasta tus créditos de IA, lee los emails de tus usuarios o borra tus datos. Así se enteran la mayoría.
No necesitás un programador. Si sabés copiar y pegar, podés hacerlo.
La dirección de tu app en vivo. Sin cuenta, sin código, sin contraseña.
Un puntaje de 0 a 100 y la lista de problemas en palabras simples, ordenados por riesgo.
Cada problema trae un prompt listo. Pegalo en Lovable, Bolt o Cursor y volvé a escanear.
Esto es todo lo que revisamos, y qué pasa si falla.
✓Claves secretas en tu código
Si falla: Desconocidos usan tu cuenta de OpenAI, Stripe o email — y pagás vos.
✓Archivos expuestos (.env, source maps, páginas de error)
Si falla: Tus contraseñas y el funcionamiento interno quedan a la vista.
✓Conexión segura (HTTPS + redirección)
Si falla: Los logins y datos pueden leerse o modificarse en un Wi-Fi público.
✓Reglas de seguridad del navegador (Content-Security-Policy)
Si falla: A un script inyectado le resulta más fácil robar las sesiones de tus usuarios.
✓Protección contra sitios que te imitan
Si falla: Un sitio copia puede esconder tu app en un marco invisible y engañar a tus usuarios.
✓Tablas abiertas (Supabase / Firebase)
Si falla: Cualquiera puede descargar nombres, emails o pedidos de tus usuarios.
✓Título y descripción
Si falla: Google muestra “Vite + React” o “Lovable App” — o directamente nada.
✓Sitemap y archivo robots
Si falla: Google no encuentra la mayoría de tus páginas.
✓Enlaces rotos (hasta 20 de tu página principal)
Si falla: Los visitantes llegan a páginas de error y se van.
Pasivo y de solo lectura. Nunca iniciamos sesión, enviamos formularios ni intentamos romper nada.
Así se ve el reporte de US$9. Ejemplo — no es de un cliente real.
Con la clave pública que ya está en tu sitio, un desconocido puede listar todos los pedidos: nombres, emails y direcciones.
Pegá esto en Lovable
En Supabase, activá Row Level Security en la tabla "orders". Agregá políticas para que un usuario logueado solo pueda hacer select, insert y update de pedidos donde user_id = auth.uid(). No cambies nada más y mostrame el SQL que ejecutaste.
Volvés a escanear → “orders” ya no es legible ✓
Un primer escaneo, y un segundo escaneo después de pegar tres prompts de arreglo.
Primer escaneo
Ejemplomy-shop.lovable.app
Después de 3 arreglos
Ejemplomy-shop.lovable.app
Ejemplo ilustrativo, no es un cliente real. Tu puntaje se calcula con lo que realmente encontramos.
Hay tres formas de que alguien más revise tu app.
US$300–1.000+
típicamente, por una revisión
Horas
típicamente, de ida y vuelta
~15 segundos
escaneo gratis · US$9 con todos los arreglos
Estimaciones típicas para comparar. No son presupuestos — los costos reales varían.
Lo que otros no hacen
Cada vez que le pedís un cambio a Lovable o Cursor, puede volver a pegar una clave en tu código. La mayoría de los escáneres revisan una vez y listo. Estamos armando el monitoreo semanal: re-escaneamos tu app cada semana y te avisamos por email si un deploy nuevo filtra algo.
Próximamente · lista de espera
Re-escaneamos tu app todas las semanas y te mandamos un email si un deploy nuevo filtra una clave o abre una tabla. Alertas en español o inglés. Sumate a la lista y te avisamos cuando abra (sin cobro hasta entonces).
No. Esto es exactamente lo que hacemos — y lo que nunca hacemos.
Leemos lo que recibe el navegador de cualquier visitante de tu app. Nada detrás de un login.
Nunca pedimos acceso a nada. No hay nada que copiar.
Requests de solo lectura. No nos registramos, no llenamos formularios, no escribimos en tu base.
Si una tabla está abierta, anotamos su nombre y paramos. No guardamos ni mostramos datos de tus usuarios.
No guardamos una lista de escaneos. Tu reporte vive en su propio enlace privado — compartilo solo con quien quieras.
Chequeos automáticos: ninguna persona mira tu app y ninguna IA lee tu sitio.
Ves todos los problemas gratis. Pagás una vez si querés los arreglos. Sin suscripción.
US$0
US$9pago único
US$29pago único
US$19/mes
Pago seguro con Stripe. Nunca vemos tu tarjeta.
No. Pegás un enlace, leés resultados en palabras simples y pegás los prompts de arreglo en la herramienta de IA que ya usás.
No. Nunca vemos tu código, tu repo ni tus logins — solo lo que cualquier visitante ya puede ver en tu app en vivo.
El escaneo, el puntaje y la lista de problemas son gratis. El reporte de US$9 suma dónde está cada problema, cómo arreglarlo y un prompt para pegar en tu herramienta de IA.
Pagás US$29 una vez y recibís 10 créditos. El reporte desde el que lo compraste usa el primero. Para los siguientes, escaneá cualquier app y tocá “Usar 1 crédito”. Te damos un enlace privado que activa tus créditos en cualquier navegador. Reabrir un reporte ya desbloqueado es gratis.
Sí. Solo leemos páginas públicas, nunca iniciamos sesión ni enviamos formularios, y cada escaneo está limitado a unas pocas decenas de requests. Escaneá solo apps tuyas o con permiso.
Tu página principal, el JavaScript que carga, algunos archivos estándar (robots.txt, sitemap.xml, /.env), tu configuración de seguridad y hasta 20 enlaces. Si encontramos una clave de Supabase, le pedimos una sola fila a algunas tablas para ver si están abiertas — y guardamos solo los nombres de las tablas.
No. No hay base de datos de escaneos. Tu reporte vive dentro de su propio enlace.
Ninguna herramienta puede prometer eso. Detectamos los errores más comunes y más caros de las apps hechas con vibe coding para que arregles esos primero.
Yes. Todo el sitio, los reportes y los prompts de arreglo están en español e inglés — cambiá con el botón EN/ES.
Gratis. Unos 15 segundos. Sin registro.