Chave de API no bundle, Supabase sem RLS, .env exposto. O SafeShip bate no seu app publicado como um atacante de verdade e acha isso antes que alguém mal-intencionado ache primeiro.
dos apps vibe-coded vazam credenciais do Supabase
apps encontrados vazando dados de usuários
de chaves expostas em um único caso: o Moltbook
Dados de incidentes reais de apps vibe-coded em 2026. Não é FUD — é o que já está indexado e exposto agora.
Blocky é seu guarda de bloquinhos. Ele reage ao resultado do scan — sorri quando está tudo seguro e fica bravo, soltando fumacinha, quando acha algo crítico. É a forma mais rápida de transformar um relatório técnico em algo que você entende num olhar.
Blocky sorri: nenhum segredo exposto, banco fechado. Pode shipar tranquilo.
Nada crítico, mas tem ponto pra ajustar antes que vire problema.
Blocky fica bravo e solta fumacinha: tem coisa exposta agora. Corrija hoje.
Zero configuração. Você não conecta repositório, não instala SDK e não dá acesso ao código — a gente trabalha só com a URL pública.
Só o endereço do seu app publicado. Sem instalar SDK, sem conectar repositório, sem dar acesso ao código.
Do lado de fora, batemos no app procurando segredos no bundle, Supabase sem RLS, .env e .git vazados, source maps e headers ausentes.
Uma nota de A a F, a severidade de cada achado e o passo a passo pra corrigir — tudo em português claro.
Os furos mais comuns — e mais caros — de um app publicado às pressas. A gente checa cada um do jeito que um atacante checaria.
Segredos que vazaram pro bundle e qualquer um lê abrindo o DevTools.
Banco aberto: dá pra ler (e às vezes escrever) a tabela dos seus usuários.
Configuração e histórico do projeto servidos publicamente sem querer.
Seu código original reconstruído a partir do que foi pro ar minificado.
Rotas internas e de admin respondendo sem autenticação nenhuma.
CSP, HSTS e afins faltando — a porta encostada pra clickjacking e XSS.
A febre do vibe coding botou milhares de apps no ar em horas — e junto foram embora chaves de API no bundle, Supabase sem RLS, .env exposto. Um levantamento achou que 11% dos apps indie vazavam credenciais do Supabase; o caso Moltbook expôs 1,5 milhão de chaves.
“A mesma IA que escreveu o vazamento não enxerga o vazamento.”
Pedir “revise a segurança” não resolve, porque o ponto cego é o mesmo. Faltava um olhar de fora, independente, que batesse no app publicado como um atacante de verdade.
Foi disso que nasceu o SafeShip: um raio-x externo, em português, que qualquer um roda colando uma URL — sem instalar SDK, sem dar acesso ao código. E porque segurança dá medo e ninguém curte ler relatório técnico, veio o Blocky pra traduzir tudo num olhar.
O relatório completo é grátis. Você só paga quando quer continuar protegido a cada deploy.
Pro seu primeiro raio-x.
Proteção contínua conforme você faz deploy.
Leva menos tempo do que você levou pra fazer deploy. Cole a URL e veja a nota do seu app agora.
grátis · sem cartão · sem acesso ao código