Lovable ile geliştirilmiş 100 uygulamayı inceleyen tarama: ölü projeler, eksik header'lar ve sızan bir API anahtarı

dev.to'da yazan bir geliştirici, Lovable'ın herkese açık vitrininden alınan 100 uygulamayı inceledi ve 14'ünün çoktan çevrimdışı kaldığını tespit etti. Ulaşılabilen 86 uygulamadan hiçbiri temiz bir gizlilik puanı alamadı ve biri, herkese açık JavaScript bundle'ının içinde çalışan bir OpenAI API anahtarını açıkta bırakıyordu — tarayıcı geliştirici araçları olan herkes bunu okuyabilirdi.

Tarama, yazarın kendi geliştirdiğini söylediği güvenlik ve GDPR kontrol aracı Vespez ile yapıldı — bu bağ yazının başında açıkça belirtiliyor. Metodoloji, sonuçları değerlendirmeye yetecek ayrıntıda anlatılmış.

Rakamlar

dev.to yazısına göre, yayında olan 86 uygulama güvenlik kontrollerinde 100 üzerinden ortalama 77, GDPR kontrollerinde ise 100 üzerinden ortalama 38 puan aldı. Üçünde hiç güvenlik bulgusu yoktu; temiz bir GDPR karnesi alan ise sıfırdı. OpenAI anahtarını açıkta bırakan uygulamanın adı verilmedi; yazar bunun herkese açıklanmak yerine özel olarak bildirileceğini söyledi.

En yaygın hata eksik header'lardı

Uygulamaların yüzde 96'sında Content-Security-Policy header'ı yoktu ve yüzde 92'si başka bir sitenin içine gömülebiliyordu — clickjacking saldırıları için gereken koşul. Yüzde 92'si ikisini birden eksikti. Yazarın yorumuna göre bunlar onlarca bağımsız eksik değil, platform düzeyinde bir boşluk: Lovable bu header'ları varsayılan olarak ayarlamıyor, dolayısıyla bunlar yalnızca geliştiriciyi yapan kişi bunları ekleyecek kadar bilgiye sahipse var oluyor.

Benzer bir varsayılan davranış üçüncü taraf yüklemede de görüldü. Uygulamaların yüzde 55'i Google Fonts'u doğrudan Google'ın sunucularından çekiyordu — yazarın ifadesiyle bilinçli bir karar değil, şablonun bir yan etkisi ve Avrupa gizlilik hukukunun incelediği türden bir üçüncü taraf veri aktarımı.

Geliştiricinin payına düşen eksikler

Uygulamaların yüzde 57'sinde bulunabilir bir gizlilik politikası yoktu, yüzde 63'ünde ise kullanım koşulları yoktu. Eksik header'ların aksine yazar, bu eksikleri platforma değil uygulamaları geliştirenlere yüklüyor.

Bir bulgu ters yöne işaret etti: var olan onay banner'ları işini yapıyordu. Banner'ı olan uygulamalar, ziyaretçi onay vermeden önce tracker'ları yalnızca yüzde 10 ihtimalle tetikliyordu; banner'ı olmayanlarda bu oran yüzde 96'ydı. Sorun kapsamda — 86 uygulamanın 23'ü hiçbir zaman banner eklemedi.

Özel alan adına geçmek işleri kötüleştirdi

lovable.app alt alan adında barınan uygulamaların GDPR puanı ortalaması 44 iken, kendi özel alan adına taşınan uygulamalarda ortalama 34'tü. 36'ya karşı 50 uygulamalık örneklerle yazar, bu farkı kesin değil ama yol gösterici olarak değerlendiriyor — ancak düşük puanı alanlar, gerçek ürün gibi ele alınan özel alan adlı uygulamalar.

Metot ve sınırları

Her uygulamaya tek bir geçiş yapıldı: headless bir tarayıcı sayfayı render etti, ziyaretçi herhangi bir onay istemiyle etkileşime girmeden önce ağ isteklerini ve cookie'leri kaydetti ve response header'larını kontrol etti. Gizlilik politikası olan uygulamalarda bir yapay zekâ modeli politikayı okudu ve iddia edilenlerle sitenin gerçekte yaptıklarını karşılaştırdı. Ulaşılamayan 14 uygulama puanlamaya dahil edilmedi ve sayfalardan hiçbir veri, puanlar ve bulgular dışında saklanmadı.

Yazar uyarıları açıkça dile getiriyor: bu bir tarama, hukuki denetim değil; dolayısıyla düşük puan kesin bir ihlal değil, olası bir sorunun sinyali. Ayrıca örnek, web'in rastgele bir kesiti değil, AI ile uygulama geliştirenlerin projelerinden oluşan herkese açık bir vitrinden geliyor.

Neden önemli

AI uygulama geliştirme araçları, fikirden yayındaki ürüne giden yoldaki sürtünmenin çoğunu ortadan kaldırdı. Bu tarama, yolculuğa eşlik etmeyen şeylere dair ampirik bir ipucu: güvenlik header'ları, onay yönetimi, gizlilik belgeleri ve sırları istemci tarafında tutmama alışkanlığı. Sızan API anahtarı en keskin örnek — tarayıcıya gönderilen kimlik bilgilerini herkes okuyabilir ve kod üretmek bunu sizin için çözmez. Veri tek bir platformun vitrininden ve tek bir satıcının tarayıcısından geliyor, yani bir hüküm değil bir veri noktası; ama Lovable gibi araçların daha güvenli varsayılanlarla mı gelmesi gerektiği yoksa bunların hangi soruları soracağını bilmeyen geliştiricilere mi bırakılması gerektiği konusunda süren bir tartışmaya besin sağlıyor.