// docs / security guides / lovable checklist

Lovable security checklist: 25 items before launch

Lovable is a fast path from idea to a published full-stack app on Supabase and Vite. This checklist targets the risks that come with that stack: RLS that must be enabled and tightened on every table Lovable creates, test keys from integrations, import.meta.env leaking env vars into the Vite bundle, GitHub sync exposing secrets, and missing security headers. 25 items across secrets, database, auth, headers, deployment, and Lovable-specific gotchas.

PRE = pre-deploy (audit your source). DEPLOY = at deploy time. POST = post-deploy verification.

Geheimnisse und API Schlüssel (5 Artikel)

Lovables Marktplatz-Integrationen und Vite-Build können Umgebungsvariablen in das Client-Bundle durchsickern lassen, wenn nicht vorsichtig vorgegangen wird.

PRE — Audit import.meta.env references. Vite macht alle Variablen mit dem Präfix VITE_ als import.meta.env.VITE_* im Client verfügbar. Verwenden Sie niemals VITE_SUPABASE_SERVICE_KEY oder VITE_STRIPE_SECRET. Leiten Sie stattdessen über einen Nur-Server-Endpunkt weiter.
PRE — Replace Lovable marketplace test keys with live restricted keys. Lovables Stripe/Erneut senden/usw. Integrationen werden manchmal mit sk_test_* oder pk_test_* Schlüsseln ausgeliefert. Tauschen Sie sie vor der Inbetriebnahme gegen aktive, eingeschränkte Schlüssel aus, die den Schaden bei Kompromittierung begrenzen.
PRE — Check the .env file is not committed. Lovable erstellt ein Gerüst für eine .env-Datei mit Integrationsschlüsseln. Führen Sie git ls-files .env aus. Wenn es verfolgt wird, entfernen Sie es sofort: git rm --cached .env und fügen Sie es zu .gitignore hinzu.
PRE — Verify GitHub sync doesn't expose service keys. Wenn Lovable mit GitHub synchronisiert wird, bestätigen Sie, dass der GitHub-Aktionsworkflow oder die Vercel-Einstellungen keine Geheimnisse in Build-Protokollen widerspiegeln. Überprüfen Sie Ihre Aktionen → Workflow-Ausführungen → klicken Sie auf eine Ausführung → prüfen Sie, ob ein Geheimnis gedruckt wird.
POST — Run Secrets in JavaScript Bundles on the deployed app. Lovables Vite-Build kann Schlüssel in import.meta.env durchsickern lassen. Ein passiver Scan wird sie finden.

Datenbankzugriffskontrolle (5 Artikel)

Every table Lovable creates needs RLS enabled and tightened before production.

PRE — Enable RLS on every public table. In Supabase Studio, Tables → for each public.* table → the RLS toggle must be ON, with policies for each command.
PRE — Write explicit policies per table and role. Minimum: SELECT ermöglicht dem Benutzer, nur Zeilen zu lesen, in denen user_id = auth.uid() ist. Lovable generiert manchmal Tabellen ohne Richtlinien; Sie müssen sie hinzufügen.
PRE — Check Lovable's generated policies, not just the toggle. A policy such as USING (true) keeps RLS "on" while letting every caller through. Scope each policy to auth.uid(). (FORCE ROW LEVEL SECURITY only affects the table owner; it does not fix an open policy.)
DEPLOY — Re-verify RLS is enforced after deploy. Öffnen Sie Supabase Studio nach der Bereitstellung. Der RLS-Schalter jeder Tabelle sollte ON sein. Wenn nicht, wurde Ihre Migration nicht angewendet.
POST — Run a FixVibe scan on the deployed app. Check the Supabase Row-Level Security result: it shows any table an anonymous visitor can read with your public key.

Authentifizierung und Sitzungen (4 Elemente)

Die Authentifizierung von Lovable ist Supabase Auth. Das Risiko besteht darin, wie Lovable es miteinander verbindet.

PRE — Ensure all API routes use getUser(), not getSession(). getSession() liest ein nicht verifiziertes Cookie; getUser() validiert mit Supabase. Suchen Sie nach getSession() in API-Handlern und ersetzen Sie es.
PRE — Check Lovable's generated auth handlers for token expiry. Magic-Link-Tokens benötigen einen vom Server erzwungenen Ablauf. Der Standardwert ist 1 Stunde – überschreiben Sie ihn nicht, es sei denn, dies ist unbedingt erforderlich.
PRE — Audit the sign-in redirect guard. Der Abfrageparameter next muss mit / beginnen, niemals mit //. Wenn es fehlt, fügen Sie den Schutz manuell hinzu.
POST — Test logout destroys the session. Anmelden, abmelden, Cookies überprüfen (DevTools → Anwendung → Cookies). Das Sitzungscookie muss gelöscht werden.

HTTP Header und CSP (3 Elemente)

Das Vite-Gerüst von Lovable fügt CSP standardmäßig nicht hinzu. Statische Hosts erfordern eine explizite Header-Konfiguration.

PRE — Add security headers via your host's config. Vercel: vercel.json headers Array. Netlify: _headers Datei. Schließen Sie CSP, HSTS, X-Frame-Optionen und X-Content-Type-Optionen ein.
PRE — CSP must not have 'unsafe-inline' in script-src. Verwenden Sie Nonces oder Hashes. Der Vite-Build von Lovable funktioniert mit striktem CSP.
POST — Run HTTP Security Headers on the deployed URL. Die Prüfung meldet fehlende Header und bietet plattformspezifische Fehlerbehebungshinweise.

Einsatzhygiene (5 Artikel)

Lovable hosts published apps itself (Lovable docs). If you export the code and deploy it to Vercel, Netlify or Cloudflare Pages instead, each host handles headers and env vars differently.

DEPLOY — Scope env vars to Production only. Vercel: Einstellungen → Umgebungsvariablen → Bereich jeweils auf Production. Teilen Sie niemals Test-Stripe-Schlüssel mit der Vorschau.
DEPLOY — Verify build logs don't echo secrets. Überprüfen Sie die Build-Protokolle Ihres Bereitstellungsanbieters. Wenn ein Geheimnis gedruckt wird, ist es kompromittiert.
DEPLOY — Add security headers to vercel.json or _headers. Für Vercel verwenden Sie die Konfiguration headers. Verwenden Sie für Netlify / Cloudflare die Datei _headers im öffentlichen Verzeichnis.
POST — Test a Vercel Preview link in a private browser window. Stellen Sie sicher, dass CSP Nonce bei jeder Anfrage aktuell ist und Header vorhanden sind.
POST — Rotate any test key that ever shipped to production. Auch wenn es sich um einen sk_test_*-Schlüssel handelt, drehen Sie ihn, nachdem Sie ihn in der Produktion gesehen haben.

Lovable-spezifische Fallstricke (3 Elemente)

Muster, die für das Gerüst und den Bereitstellungsablauf von Lovable einzigartig sind:

import.meta.env is Vite-specific and all-or-nothing. Vite macht absichtlich VITE_* Variablen im Client-Bundle verfügbar. In Vite gibt es kein reines Server-Umgebungskonzept ohne eine separate API-Grenze. Die Standardeinstellung von Lovable ist clientlastig. Sie müssen API Routen für sensible Vorgänge hinzufügen.
GitHub sync can auto-commit without review. Wenn Lovable Änderungen wieder mit GitHub synchronisiert, stellen Sie sicher, dass der Workflow nicht ohne Ihre Zustimmung automatisch pusht. Andernfalls könnte ein bösartiges Update in main landen.
Static-host headers are a different beast than middleware. Vercel, Netlify und Cloudflare Pages behandeln alle Header unterschiedlich. Wenn Sie den Host wechseln, überprüfen Sie erneut, ob Ihre Header-Konfiguration angewendet wird. Die Plattform gibt Ihnen möglicherweise keine Fehlermeldung aus, wenn ein Header nicht unterstützt wird.

Nächste Schritte

Überprüfen Sie das general vibe coding security checklist für 51 werkzeugübergreifende Elemente. Dann siehe step-by-step hardening für tiefere Muster zu CSP, RLS und Auth.