Waarom heeft een AI-gebouwde app een tweede blik nodig?
AI-tools zijn sterk in schermen die werken. Wat achter die schermen moet kloppen, zoals wie welke gegevens mag lezen, controleren ze minder goed, en jij ziet het niet zolang alles lijkt te werken.
In maart 2025 scande een onderzoeker 1.645 apps die met Lovable gebouwd waren. Bij 170 ervan, ongeveer tien procent, konden buitenstaanders gegevens lezen die afgeschermd hadden moeten zijn: namen, e-mailadressen, telefoonnummers, betaalgegevens en API-sleutels. Het probleem kreeg een officieel nummer, CVE-2025-48757.
Het ligt niet alleen aan één tool. Bij Base44, een ander platform om apps met AI te bouwen, vond Wiz in juli 2025 een fout waarmee iemand zich kon registreren op privé-apps, zelfs als die achter een bedrijfslogin zaten. Base44 loste het binnen een dag op, zo staat in het verslag van Wiz. Platformen dichten zulke gaten snel. De instellingen van je eigen app blijven wel jouw verantwoordelijkheid.
1. Wie mag welke gegevens lezen?
Gebruikt je app Supabase, controleer dan of elke tabel Row Level Security aan heeft, met regels die bepalen wie welke rijen ziet. Zonder die regels is een tabel open.
Lovable en Bolt koppelen apps vaak aan Supabase als database. Supabase is degelijk, maar de eigen documentatie is duidelijk: een tabel zonder Row Level Security kan gelezen en gewijzigd worden door iedereen die er toegang toe heeft, en dat kan ook een anonieme bezoeker zijn.
- Staat Row Level Security aan op elke tabel met klantgegevens?
- Zegt elke regel precies wie mag lezen en schrijven, of staat er een regel die alles toelaat?
- Probeer het zelf: maak een tweede testaccount aan en kijk of je de gegevens van het eerste account kunt zien.
2. Staan er geheime sleutels in je code?
Een app mag een publieke sleutel in de browser gebruiken, maar nooit een sleutel die alles mag. Zoek naar de service role-sleutel van Supabase en naar API-sleutels van betaaldiensten of AI-modellen.
Alles wat in de browser draait, kan een bezoeker lezen. Staat de service role-sleutel van Supabase of een betaalsleutel van Stripe of OpenAI in de code die naar de browser gaat, dan kan iemand die gebruiken op jouw kosten. Zulke sleutels horen op de server, in een beveiligde omgevingsvariabele. Is er ooit een sleutel gelekt, vervang hem dan meteen door een nieuwe; verwijderen uit de code volstaat niet.
3. Klopt het inloggen?
Een verborgen knop is geen beveiliging. Controleer of pagina's en acties voor beheerders ook op de server afgeschermd zijn, en of wachtwoord vergeten en e-mailbevestiging correct werken.
- Kan iemand een beheerpagina openen door het adres in te typen, ook als de knop verborgen is?
- Controleert de server bij elke actie of de gebruiker die mag uitvoeren?
- Werken wachtwoord vergeten, e-mailbevestiging en uitloggen, ook op een telefoon?
4. Van wie is de app?
Zorg dat de code in een GitHub-account van jezelf staat en dat database, hosting en domein op jouw naam staan. Dan kun je later van tool of ontwikkelaar wisselen.
Veel apps beginnen in het account van de tool of van de persoon die ze bouwde. Dat gaat goed tot je wilt overstappen, of tot een abonnement verloopt. Kijk na of je de code kunt exporteren naar je eigen GitHub, en of de Supabase-database en het domein in jouw account zitten.
5. Klopt het voor de GDPR?
Weet waar de gegevens staan, welke diensten ze verwerken en hoe je ze verwijdert als een klant dat vraagt.
- In welke regio draait je database? Voor Europese klanten is een Europese regio de eenvoudigste keuze.
- Welke externe diensten krijgen gegevens door, bijvoorbeeld een AI-model of een mailtool, en heb je met hen een verwerkersovereenkomst?
- Kun je de gegevens van één klant volledig verwijderen als die dat vraagt?
6. Kan Google je app vinden?
Moet een deel van je app gevonden worden in Google, zoals een prijspagina of blog, controleer dan of die pagina's hun tekst tonen zonder dat JavaScript eerst moet laden.
Veel AI-gebouwde apps bouwen elke pagina pas in de browser op. Voor een app achter een login maakt dat niets uit. Voor publieke pagina's wel: Google kan zulke pagina's lezen, maar andere zoekmachines en AI-assistenten zien vaak een lege pagina. Sommige tools bouwen nieuwe apps intussen op de server op; oudere projecten kun je beter even nakijken. Een snelle test: open je pagina, schakel JavaScript uit en kijk wat er overblijft.
Wat houdt mijn AI-app check in?
Voor €450 excl. btw kijk ik je app na op deze zes punten. Binnen vijf werkdagen krijg je een rapport met wat goed zit, wat dringend is en wat kan wachten, plus een vaste prijs om het op te lossen of de app over te nemen.
- Wat ik nakijk: de toegangsregels van je database, sleutels in de code, het inloggen, eigendom van code en accounts, GDPR-basis en vindbaarheid.
- Wat ik nodig heb: de link naar je app, leestoegang tot de code (GitHub of een export) en tot je database.
- Wat je krijgt: een rapport in gewone taal binnen vijf werkdagen, met per punt hoe dringend het is.
- Daarna: een vaste prijs om de problemen op te lossen of de app over te nemen. Laat je dat door mij doen, dan trek ik de €450 van die prijs af.
Ik bouw zelf elke dag met Claude Code en Codex, dus ik ken de sterke kanten van AI-tools en de plekken waar ze iets laten liggen. Ik ben geen gecertificeerde Lovable-partner. Wil je weten wat ik bouw, kijk dan bij webapplicaties op maat of stuur me de link naar je app.
Veelgestelde vragen.
Is Lovable onveilig? +
Nee. Lovable is een goede tool om snel een werkende app te bouwen. De problemen komen meestal van instellingen die niemand nakeek, zoals ontbrekende toegangsregels in de database. Die kun je oplossen zonder de app opnieuw te bouwen.
Moet ik mijn app laten herbouwen? +
Meestal niet. De meeste problemen uit deze lijst los je op in de bestaande app. Herbouwen loont pas als de basis zelf niet klopt of als de app moet groeien op een manier die de tool niet aankan. Het rapport zegt welke van de twee het is.
Werk je ook met Bolt, v0, Replit of Cursor? +
Ja. De tool maakt weinig uit: ik kijk naar de code, de database en de accounts die eruit komen. Zolang ik leestoegang krijg, kan ik het nakijken.
Wat kost het om de problemen daarna op te lossen? +
Dat hangt af van wat het rapport vindt. Toegangsregels en sleutels zijn vaak snel rechtgezet; een overname met verhuis naar je eigen accounts vraagt meer werk. Je krijgt vooraf een vaste prijs, en de €450 van de check gaat daarvan af.