// docs / security guides / lovable checklist

Lovable security checklist: 25 items before launch

Lovable is a fast path from idea to a published full-stack app on Supabase and Vite. This checklist targets the risks that come with that stack: RLS that must be enabled and tightened on every table Lovable creates, test keys from integrations, import.meta.env leaking env vars into the Vite bundle, GitHub sync exposing secrets, and missing security headers. 25 items across secrets, database, auth, headers, deployment, and Lovable-specific gotchas.

PRE = pre-deploy (audit your source). DEPLOY = at deploy time. POST = post-deploy verification.

Secrets et clés API (5 éléments)

Les intégrations du marché de Lovable et la version Vite peuvent divulguer des variables d'environnement dans le bundle client si vous ne faites pas attention.

PRE — Audit import.meta.env references. Vite expose toutes les variables préfixées VITE_ comme import.meta.env.VITE_* dans le client. N'utilisez jamais VITE_SUPABASE_SERVICE_KEY ou VITE_STRIPE_SECRET. Acheminez plutôt via un point de terminaison réservé au serveur.
Les intégrations Stripe / Renvoyer / etc. de PRE — Replace Lovable marketplace test keys with live restricted keys. Lovable sont parfois livrées avec les clés sk_test_* ou pk_test_*. Avant de les mettre en ligne, échangez-les avec des clés restreintes en direct qui limitent les dégâts en cas de compromission.
PRE — Check the .env file is not committed. Lovable échafaude un fichier .env avec des clés d'intégration. Exécutez git ls-files .env. S'il est suivi, supprimez-le immédiatement : git rm --cached .env et ajoutez-le à .gitignore.
PRE — Verify GitHub sync doesn't expose service keys. Si Lovable se synchronise avec GitHub, confirmez le flux de travail GitHub Actions ou les paramètres Vercel ne font pas écho aux secrets dans les journaux de build. Vérifiez vos actions → Exécutions du workflow → cliquez sur une exécution → voyez si un secret est imprimé.
La version Vite de POST — Run Secrets in JavaScript Bundles on the deployed app. Lovable peut divulguer des clés dans import.meta.env. Un scan passif les trouvera.

Contrôle d'accès à la base de données (5 éléments)

Every table Lovable creates needs RLS enabled and tightened before production.

PRE — Enable RLS on every public table. In Supabase Studio, Tables → for each public.* table → the RLS toggle must be ON, with policies for each command.
PRE — Write explicit policies per table and role. Minimum : SELECT permet à l'utilisateur de lire uniquement les lignes où user_id = auth.uid(). Lovable génère parfois des tables sans stratégies ; vous devez les ajouter.
PRE — Check Lovable's generated policies, not just the toggle. A policy such as USING (true) keeps RLS "on" while letting every caller through. Scope each policy to auth.uid(). (FORCE ROW LEVEL SECURITY only affects the table owner; it does not fix an open policy.)
DEPLOY — Re-verify RLS is enforced after deploy. Ouvrez Supabase Studio après le déploiement. La bascule RLS de chaque table doit être ON. Sinon, votre migration ne s'applique pas.
POST — Run a FixVibe scan on the deployed app. Check the Supabase Row-Level Security result: it shows any table an anonymous visitor can read with your public key.

Authentification et sessions (4 éléments)

L'authentification de Lovable est Supabase Auth. Le risque réside dans la manière dont Lovable le connecte.

PRE — Ensure all API routes use getUser(), not getSession(). getSession() lit un cookie non vérifié ; getUser() valide avec Supabase. Recherchez getSession() dans les gestionnaires API et remplacez-le.
PRE — Check Lovable's generated auth handlers for token expiry. Les jetons Magic-link nécessitent une expiration imposée par le serveur. La valeur par défaut est 1 heure ; ne la remplacez pas, sauf si cela est essentiel.
PRE — Audit the sign-in redirect guard. Le paramètre de requête next doit commencer par /, jamais //. S’il manque, ajoutez la garde manuellement.
POST — Test logout destroys the session. Connectez-vous, déconnectez-vous, inspectez les cookies (DevTools → Application → Cookies). Le cookie de session doit être effacé.

HTTP en-têtes et CSP (3 éléments)

L'échafaudage Vite de Lovable n'ajoute pas CSP par défaut. Les hôtes statiques nécessitent une configuration d'en-tête explicite.

PRE — Add security headers via your host's config. Vercel : vercel.json headers tableau. Netlify : fichier _headers. Incluez CSP, HSTS, X-Frame-Options, X-Content-Type-Options.
PRE — CSP must not have 'unsafe-inline' in script-src. Utilisez des noms occasionnels ou des hachages. La version Vite de Lovable fonctionnera avec CSP strict.
POST — Run HTTP Security Headers on the deployed URL. La vérification signale les en-têtes manquants et fournit des conseils de correction spécifiques à la plate-forme.

Hygiène de déploiement (5 éléments)

Lovable hosts published apps itself (Lovable docs). If you export the code and deploy it to Vercel, Netlify or Cloudflare Pages instead, each host handles headers and env vars differently.

DEPLOY — Scope env vars to Production only. Vercel : Paramètres → Variables d'environnement → Portée chacune sur Production. Ne partagez jamais les clés de test Stripe avec Aperçu.
DEPLOY — Verify build logs don't echo secrets. Vérifiez les journaux de build de votre fournisseur de déploiement. Si un secret est imprimé, il est compromis.
DEPLOY — Add security headers to vercel.json or _headers. Pour Vercel, utilisez headers config. Pour Netlify / Cloudflare, utilisez le fichier _headers dans le répertoire public.
POST — Test a Vercel Preview link in a private browser window. Assurez-vous que CSP le nom occasionnel est récent sur chaque demande et que les en-têtes sont présents.
POST — Rotate any test key that ever shipped to production. Même s'il s'agit d'une clé sk_test_*, faites-la pivoter après l'avoir vue en production.

Lovable pièges spécifiques (3 éléments)

Modèles uniques à l'échafaudage et au flux de déploiement de Lovable :

import.meta.env is Vite-specific and all-or-nothing. Vite expose les variables VITE_* dans le bundle client de par sa conception. Il n'y a pas de concept d'environnement de serveur uniquement dans Vite sans une limite API distincte. La valeur par défaut de Lovable est lourde en termes de clients ; vous devez ajouter des routes API pour les opérations sensibles.
GitHub sync can auto-commit without review. Si Lovable synchronise les modifications avec GitHub, confirmez que le flux de travail n'est pas envoyé automatiquement sans votre approbation. Sinon, une mise à jour malveillante pourrait atterrir dans main.
Static-host headers are a different beast than middleware. Vercel, Netlify et Cloudflare Pages gèrent tous les en-têtes différemment. Si vous changez d'hôte, vérifiez à nouveau que la configuration de votre en-tête est appliquée : la plate-forme peut ne pas vous renvoyer d'erreur si un en-tête n'est pas pris en charge.

Prochaines étapes

Examinez le general vibe coding security checklist pour 51 éléments multi-outils. Consultez ensuite step-by-step hardening pour des modèles plus approfondis sur CSP, RLS et auth.