Застосунок з Lovable, Bolt, Base44 чи Cursor може працювати бездоганно — і водночас показувати одному клієнту дані іншого. Перед запуском пройдіть ці 10 місць: правила доступу до бази (Supabase RLS, Firebase rules), ключі в коді, адмінку й API без входу, файли, оплату, вхід і введення.
Баги + вразливості — $499 замість $648. Не знайдемо жодного бага — повернемо 100%.Подивитися приклад звітуУвійдіть другим клієнтом і спробуйте дістатися даних першого. Лише у власному застосунку.
У Supabase кожна таблиця з даними користувачів має мати ввімкнений RLS і правила, прив’язані до того, хто увійшов. Увійдіть клієнтом Б і спробуйте прочитати, змінити чи видалити запис клієнта А.
БЕЗ RLS ПУБЛІЧНИЙ КЛЮЧ ЧИТАЄ ТАБЛИЦЮКлюч anon у Supabase може бути публічним. Ключ service_role, секретні ключі Stripe і ключі AI-сервісів не мають потрапляти у фронтенд — а все, що лежить у змінних VITE_ чи NEXT_PUBLIC_, туди потрапляє. Пошукайте їх у скриптах сторінки.
СЕКРЕТНИЙ КЛЮЧ У JAVASCRIPTСховати кнопку адмінки — не захист. Відкрийте адресу адмінки без входу і звичайним клієнтом.
АДМІНКА ВІДКРИВАЄТЬСЯ ЗА АДРЕСОЮВикличте API чи edge functions без токена, а потім з ID іншого клієнта. Відповіддю має бути відмова, а не дані.
ЧУЖИЙ ID ПОВЕРТАЄ ЧУЖІ ДАНІРахунки, фото, документи — у приватному сховищі з тимчасовими посиланнями. Відкрийте адресу файлу в приватному вікні.
ПРИВАТНІ ФАЙЛИ В ПУБЛІЧНОМУ СХОВИЩІВідкривайте доступ лише тоді, коли сервер підтвердив оплату — вебхуком із перевіреним підписом чи запитом до платіжного сервісу, — а не лише тому, що відкрилася сторінка «Успішно». Відкрийте її без оплати.
СТОРІНКА «УСПІШНО» ДАЄ ДОСТУПВведіть неправильний пароль двадцять разів. Вас мають пригальмувати чи зупинити, а повідомлення — не казати, чи існує така пошта.
ПАРОЛЬ МОЖНА ПІДБИРАТИ БЕЗ КІНЦЯВставте <img src=x onerror=alert(1)> в ім’я чи коментар і відкрийте сторінку, де воно показується, — особливо в адмінці.
Навмисно зламайте запит. Застосунок має показати звичайне повідомлення, а не трасування стека, помилку бази чи налаштування.
ПОМИЛКА БАЗИ НА ЕКРАНІЖодного файлу .env у публічному репозиторії чи публічній папці сервера. Якщо ключ колись витік — замініть його: видалити файл недостатньо.
КЛЮЧ, ЩО ВИТІК, ПРАЦЮЄ, ДОКИ ЙОГО НЕ ЗАМІНИТИНаш фахівець з кібербезпеки пробує зламати застосунок, як це зробив би хакер, — неруйнівно й лише з вашого дозволу.
Вбудовані й автоматичні сканери ловлять відомі шаблони в коді й налаштуваннях. Запускайте їх — а потім перевірте те, що покаже лише другий клієнт, який увійшов.
Чужі дані й файли, правила доступу до бази, ключі в коді, адмінка й API без входу, підробка оплати, перебір паролів. $349 окремо.
Тестування на баги й на вразливості разом — $499 замість $648. Це не пентест: повний пентест — окрема послуга за договором.
Фіксовані ціни. Суму бачите до оплати — нічого не списується без вашого рішення.
Перше тестування вашого застосунку.
Не знайдемо жодного бага — повернемо 100%
Баги + спроби зламу, як це зробив би хакер.
Не знайдемо жодного бага — повернемо 100%
Для регулярних релізів.
Не знайдемо жодного бага — повернемо 100%
Тестування оновлення — $149. Для застосунку, який ми вже тестували. Замовити оновлення ↗︎
Тестування на вразливості — $349. Без тестування на баги. Замовити окремо ↗︎
Опції. Ще одна платформа — +$149. Ще 25 екранів — +$149. Терміновий звіт за 1–2 робочі дні — +$99.
Оплата частинами. До 12 платежів: Монобанк, ПриватБанк, А-Банк, Глобус Банк, OTP Bank. Обираєте на сторінці оплати.
Так, він і задуманий публічним — але лише коли Row Level Security захищає кожну таблицю. Ключ service_role обходить ці правила й ніколи не має потрапляти в браузер.
Спершу закрийте його: увімкніть RLS чи виправте правило, перенесіть ключ на сервер. Потім замініть кожен ключ, що був відкритий, — ключ, який витік, працює, доки ви його не заміните. І перевірте ще раз другим клієнтом.
Ні. Чекліст і наше тестування на вразливості — неруйнівні спроби зламу вашого застосунку з вашого дозволу. Повний пентест — окрема послуга за договором.
$349 окремо або $499 у пакеті «Баги + вразливості» разом із тестуванням на баги (окремо — $648). У звіті кожна знахідка з кроками, скріншотом і промптом для AI, щоб її виправити.