Aseguraré tu base de datos de la app Lovable, replit o base44 en supabase

Tu app Lovable o Bolt funciona. Eso no significa que esté segura.

Supabase envía la URL de tu proyecto y la clave anónima dentro del paquete del frontend. Eso es intencional y solo es seguro si la seguridad a nivel de fila está activada y las políticas son correctas. Las tablas nuevas llegan con RLS desactivado y los constructores de IA añaden tablas constantemente sin activarlo.

Así que cualquiera puede abrir las devtools, tomar tu clave y consultar tu base de datos directamente. Usuarios, órdenes, mensajes, todo legible. Nada se rompe, por eso los propietarios nunca se enteran.

Pruebo tu app como lo haría un atacante. Extraigo tu clave del paquete, enumero todas las tablas y intento leer, insertar, actualizar y eliminar en cada una desde fuera de tu app completamente. Tú obtienes una tabla que muestra exactamente a qué puede acceder un visitante anónimo.

Luego la cierro. Las políticas se escriben y verifican volviendo a ejecutar la misma prueba hasta que cada endpoint no devuelva nada, mientras tu app sigue funcionando normalmente.

Incluye: políticas RLS, manejo de autenticación y sesiones, exposición de clave de rol de servicio, permisos en buckets de almacenamiento, problemas de esquema y claves foráneas, configuración de API y webhook.

No incluye: trabajo en UI, cambios de diseño, envíos a tiendas de apps.

Envíame la URL de tu app antes de ordenar y te diré lo que encuentro