Laget du appen med Lovable? Slik ser du om kundedata ligger åpent

Hva som ble funnet

Sikkerhetsselskapet Crissy Field i Hamburg gikk gjennom 159 041 Lovable-prosjekter publisert mellom desember 2025 og september 2026. Ifølge Shifter eksponerte 7 403 av dem oppføringer med e-postadresser, fordelt på 10 560 tabeller i databasene.

Blant det som lå åpent, var passnumre, brukerprofiler med navn og fødselsdato, over 200 000 private chatmeldinger og bestillinger med hjemmeadresser.

Lovable-apper bruker databasetjenesten Supabase. Der har hver tabell en funksjon som sørger for at brukerne bare ser sine egne rader, men den må slås på og settes opp. Ifølge Shifter lot Lovables AI-assistent den ofte være av når tabellene ble laget. I forhåndsvisningen virket appen feilfritt.

Lovable svarte at sikkerhet er et delt ansvar, og lovet en bedre sikkerhetsløsning for brukere uten teknisk bakgrunn i løpet av november. Det hjelper ikke på data som allerede har ligget ute.

Gjelder dette appen din?

Still deg tre spørsmål. Lagrer appen noe om folk: skjema, innlogging, booking, bestilling eller opplastede filer? Ble databasen laget av AI-assistenten, uten at noen har gått gjennom tilgangsreglene? Og er appen publisert, slik at alle kan åpne den?

Er svaret ja på alle tre, bør du sjekke den i dag. Er appen en ren presentasjonsside uten skjema og database, er risikoen for denne feilen liten.

Det samme kan skje med andre AI-verktøy som setter opp en database for deg. Supabase skriver selv at en tabell uten slike tilgangsregler kan leses og endres av alle som har tilgang til databasen gjennom appen. Det gjelder uansett hvilket verktøy som laget tabellen.

Slik sjekker du tilgangsreglene

Start i Lovable. Når du publiserer, kjører Lovable en rask sikkerhetssjekk, og i sikkerhetsvisningen kan du kjøre en grundigere sjekk. Den raske sjekken ser blant annet etter tabeller uten tilgangsregler per rad. Kjør den grundige sjekken også, og les hvert varsel.

Gå deretter til databasen, i Supabase eller der Lovable viser den, og se på hver tabell. Tilgangsreglene heter Row Level Security der. De skal være slått på for alle tabeller, og det skal finnes regler som sier hvem som får lese og hvem som får skrive. En tabell med kundedata der alle kan lese alt, er det samme som en åpen liste.

Den sikreste testen er å prøve å hente data uten å være logget inn, slik en fremmed ville gjort. Det krever litt teknisk kunnskap. Kan du ikke det selv, be noen som kan, om å gjøre det før du stoler på resultatet.

Nøklene: hvilken som kan ligge åpent, og hvilken som aldri skal

Appen bruker nøkler for å snakke med databasen. Den offentlige nøkkelen ligger alltid synlig i nettleseren, og det er i orden, men bare når tilgangsreglene er slått på. Uten regler gir den offentlige nøkkelen tilgang til alt.

Den hemmelige nøkkelen, som Supabase kaller service role, går forbi alle tilgangsregler. Den skal aldri ligge i nettleseren eller i koden til appen. Lovable har et eget sted for slike hemmeligheter, og varsler hvis du limer inn en nøkkel i chatten. Har du gjort det, eller ligger den i koden, må du lage en ny nøkkel og slette den gamle.

Skjemaene kan også misbrukes

Et skjema som sender e-post, kan brukes av roboter. På et nettsted vi har ansvar for, sendte roboter så mange henvendelser gjennom kontaktskjemaet at det automatiske svaret til avsenderen brukte opp hele kvoten for utsendt e-post, rundt 1 500 meldinger. Kvoten var delt med andre nettsteder, og bookingbekreftelser derfra ble ikke sendt før vi hadde stoppet strømmen.

Det vi lærte: send ikke automatiske svar til en adresse noen har skrevet inn, og sett på en robotsperre. Begrens hvor mange henvendelser som slipper gjennom per time. Og del ikke én avsenderkonto mellom mange nettsteder, så ett skjema ikke kan stoppe e-posten for de andre.

Hvis data har ligget åpent

Steng først. Slå på tilgangsreglene, bytt nøkler som kan ha ligget ute, og ta appen ned hvis du ikke får rettet det med en gang.

Finn så ut hva som lå åpent, hvor lenge og om noen har hentet det. Det kan loggene for appen og databasen ofte vise. Skriv ned det du finner.

Etter personvernreglene er det du som eier appen, som har ansvaret for opplysningene. Datatilsynet skriver at hovedregelen er at alle brudd skal meldes til dem, gjennom Altinn og innen 72 timer. Du slipper bare hvis bruddet sannsynligvis ikke medfører risiko for de berørte, og da må du være nesten helt sikker. Mangler i tilgangsstyringen som har gitt uvedkommende tilgang, er et av eksemplene Datatilsynet nevner. Kan bruddet gi høy risiko for dem det gjelder, skal de også få beskjed så raskt som mulig. Vurderingene skal dokumenteres, også om du ender med ikke å melde.

Det vi sjekker, og i hvilken rekkefølge

Når vi går gjennom en app laget med et AI-verktøy, starter vi alltid med det som kan lekke, før vi ser på resten.

Hva som avgjør arbeidet, og om du kan gjøre det selv

Det som avgjør arbeidet: hvor mange tabeller appen har, om brukerne logger inn, om det lastes opp filer, og om appen er koblet til betaling eller andre tjenester. En liten app med ett skjema er rask å gå gjennom. En app med innlogging, flere brukertyper og filer tar lengre tid, fordi reglene må testes for hver type bruker.

Du kan gjøre de første stegene selv: kjøre sikkerhetssjekken i Lovable, se at tilgangsreglene er slått på, og flytte nøkler dit de skal. Få hjelp hvis appen lagrer personopplysninger om kunder, hvis du er usikker på om data har ligget åpent, eller hvis ingen vet hvordan databasen er satt opp.

Ha klart: innlogging til Lovable og Supabase, adressen til appen, og en oversikt over hva appen lagrer. Sikkerhetssjekk og oppfølging av nettsider og apper gjør vi innen drift og vedlikehold. Er en WordPress-side angrepet, se WordPress hacket. Sender skjemaet ikke e-post lenger, se kontaktskjema som har sluttet å sende e-post.

Den gratis nettside-sjekken gir en rask oversikt over hvordan nettsiden din står seg i dag.