Lovable: über 170 Apps offen
In über 170 mit Lovable gebauten Apps fehlten Datenbankregeln (Row Level Security). E-Mails, Telefonnummern, Zahlungsstatus und API-Keys waren ohne Login lesbar.
Quelle: Superblocks ↗Passiver Security-Scan
Security-Scan für Apps aus Cursor, Lovable, Bolt und v0.
URL einfügen, Report in 60 Sekunden.
Zur Warteliste
Sei beim Launch dabei. Eine E-Mail, kein Spam, jederzeit abmeldbar.
Ein vergessener Schlüssel reicht. Diese Fälle sind 2025 passiert.
Tea-App: Ausweisfotos und Nachrichten offen
Falsch gesicherte Firebase-Dienste legten Selfies und Ausweisfotos offen, später auch über eine Million private Nachrichten. Es folgten Sammelklagen.
Quelle: AppleInsider ↗Was nach einer Datenpanne drohen kann
- DSGVO: Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Das ist die gesetzliche Obergrenze, nicht der Normalfall. Dazu kommen Schadensersatz für Betroffene und eine Meldepflicht binnen 72 Stunden. Quelle: DSGVO (EUR-Lex) ↗
- Geleakte API-Keys: Fremde können sie nutzen, und zwar auf deine Rechnung.
Das heißt nicht, dass jede App so ein Risiko trägt oder Millionenschäden drohen. Und ShipSafe findet nicht alles: Wir prüfen passiv, was der Browser ohnehin sieht. Eine Garantie gibt es nicht.
Was wir gefunden haben
109
Apps passiv geprüft
von 115 URLs, 6 waren nicht scanbar
109 von 109
mit mindestens einem fehlenden Security-Header
n = 109 geprüfte Apps (100 %)
108 von 109
ohne Content-Security-Policy
n = 109 geprüfte Apps (99,1 %)
65 von 109
ohne Referrer-Policy
n = 109 geprüfte Apps (59,6 %)
Stichprobe von 115 öffentlichen Apps (Lovable, Bolt, v0), passiv geprüft: nur GET-Requests auf die Apps selbst, gefundene Keys wurden nie ausprobiert. Es wird kein JavaScript ausgeführt; zur Laufzeit nachgeladene Inhalte sind unsichtbar, die Zahlen sind daher Mindestwerte. Geleakte Secret-Keys im Browser-Code wurden in keiner der 107 vollständig geprüften Apps gefunden. Die Stichprobe ist nicht repräsentativ für alle Apps.
Was wir prüfen
Security-Header
- Was wir prüfen
- Ob deine Seite CSP, HSTS, X-Frame-Options, X-Content-Type-Options und Referrer-Policy sendet.
- Warum das gefährlich ist
- Ohne sie kann Fremdcode im Browser laufen, deine Seite in fremde Seiten eingebettet oder die Verbindung ohne HTTPS-Zwang abgefangen werden.
- Was passieren kann
- Daten von Besuchern können abfließen, Nutzer zu ungewollten Klicks verleitet werden.
Geleakte Keys im Code
- Was wir prüfen
- Ob im ausgelieferten Code Schlüssel stehen, etwa von Stripe, OpenAI, AWS oder der Supabase service_role. Gefundene Keys probieren wir nie aus.
- Warum das gefährlich ist
- Alles, was im Browser ankommt, kann jeder lesen. Ein geheimer Key öffnet Dienste und Daten.
- Was passieren kann
- Fremde nutzen den Key auf deine Rechnung oder lesen Daten. Mit dem service_role-Key fallen alle Datenbankregeln weg. Öffentlich gedachte Keys (Supabase anon, Firebase) melden wir nur als Hinweis.
Stack-Erkennung
- Was wir prüfen
- Ob deine App Supabase oder Firebase nutzt.
- Warum das gefährlich ist
- Dort schützen allein die Datenbankregeln (RLS bzw. Security Rules) deine Daten. Fehlen sie, ist die Datenbank offen.
- Was passieren kann
- Das war bei den Fällen oben der Kern. Wir testen die Regeln nicht selbst, sondern weisen dich darauf hin, sie zu prüfen.
Was wir nicht prüfen
- Keine aktiven Angriffe.
- Keine Datenbankabfragen.
- Keine Logik hinter dem Login.
Rein passiv: nur GET-Requests auf deine App, wie ein Browser. Gefundene Keys werden nie benutzt.
Bald: DSGVO-, Impressum- und Kündigungsbutton-Check.
Preise
Einzel-Scan
$5 / Scan
- Alle Befunde, nicht nur die Top 3
- Fertige Fix-Prompts zum Kopieren
- Vollständiger Header- & Key-Check
Launch-Paket
$9 / 3 Scans
- 3 vollständige Scans
- Vor und nach dem Fix prüfen
- $3 pro Scan — bester Preis
Bezahlung pro Scan über Stripe, kein Abo. Erst Konto erstellen, dann Credits kaufen und scannen.