Securitycheck voor je AI-app
Je app werkt, en je wilt weten of hij ook dicht zit. We controleren de vijf plekken waar een app uit Lovable, Bolt, v0, Cursor of Claude Code het vaakst openstaat. Je krijgt een rapport in gewone taal, en de fixes.
Waarom dit nodig is
Een AI-builder bouwt wat je vraagt, en wat je vraagt is dat het werkt. Of een bezoeker de tabellen van andere klanten kan lezen, zie je niet in de preview. Er komt geen foutmelding. De app doet precies wat hij moet doen, en daarnaast iets wat niemand bedoelde.
In augustus 2026 scande Reeve bijna 31.000 live apps die zo gebouwd waren. Van de Supabase-databases die bereikbaar waren, kon 57 procent zonder inloggen worden uitgelezen. Bij apps uit Lovable met te zwakke databaseregels staat dat gat sinds 2025 te boek als CVE-2025-48757.
Dat is geen reden om niet met AI te bouwen. Het is een reden om iemand te laten kijken voor je klanten of je gegevens erin zetten.
Voor wie
En voor wie niet
Voor een app die echte gebruikers of echte gegevens heeft, of die binnenkort krijgt.
Wel.
- Je app draait op Supabase, Firebase of een eigen database en mensen loggen in.
- Er zitten klantgegevens, betalingen of bestanden in.
- Je wilt live met een app die je zelf niet regel voor regel hebt gelezen.
- Een klant of investeerder vraagt hoe het met de beveiliging zit.
Liever niet.
- Een prototype zonder echte gegevens dat alleen jij gebruikt.
- Een statische site zonder inloggen of database.
- Je zoekt een certificaat of een pentest-rapport voor een audit.
Wat we controleren
Vijf plekken, in deze volgorde, omdat daar het meeste misgaat.
- Databaserechten
- Of Row Level Security op elke tabel aanstaat, of de policies kloppen voor lezen én schrijven, en of je opslag met bestanden niet openbaar is. We testen het als bezoeker zonder account en als tweede gebruiker.
- Keys en geheimen
- Welke keys in de browser terechtkomen, wat in je git-geschiedenis staat, en of de service_role-key ergens zit waar hij niet hoort. Zie ook wat je doet als een key gelekt is.
- Inloggen en rollen
- Of een gewone gebruiker bij beheerschermen kan door een adres in te tikken, en of de server zelf controleert wie wat mag, of alleen de knop verbergt.
- Webhooks en betalingen
- Of je app controleert dat een betaalbericht echt van Stripe of Mollie komt, en of iemand een bestelling op betaald kan zetten zonder te betalen.
- AVG-basis
- Waar je gegevens staan, met welke diensten je ze deelt, en of er een verwerkersovereenkomst en een privacyverklaring bij horen. Wat de wet van je vraagt, beoordeelt een jurist; wij laten zien wat er technisch gebeurt.
Wat kost het
De check heeft een vaste prijs, die je vooraf hoort. Die hangt af van hoeveel tabellen, rollen en koppelingen je app heeft; na één gesprek noemen we het bedrag. Wat de fixes kosten, staat in het rapport.
Zo gaat het
Kennismaking
Je vertelt wat de app doet, waar hij draait en wie hem gebruikt. Daarna hoor je wat de check kost.
Toegang
Je geeft ons leestoegang tot de code en de database, of een testomgeving met dezelfde instellingen.
De check
We lopen de vijf plekken na en proberen bij gegevens te komen die niet van ons zijn. Op je live app veranderen we niets.
Rapport en fixes
Je krijgt per bevinding wat er openstaat, hoe erg het is en wat het oplost. Daarna zetten wij het dicht, of jij doet het met het rapport.
Wanneer je dit niet nodig hebt
Gebruikt alleen jij de app, met verzonnen gegevens, dan is een check te vroeg. Controleer dan zelf of Row Level Security aanstaat met de query uit ons artikel over RLS, en kom terug voor je de eerste klant toelaat.
Heeft je app geen database en geen inlog, dan valt er weinig te controleren. Dan zit het risico eerder in je hosting en je domein.
Moet je voor een klant of een certificering aantonen dat je app getest is door een onafhankelijke partij, dan heb je een pentest van een gespecialiseerd bureau nodig. Onze check is een technische controle met de fixes erbij, geen keurmerk.
Moeten jullie bij mijn live gegevens?
Werkt dit ook voor een app die niet met AI is gebouwd?
Kan ik daarna zelf verder bouwen?
Is mijn app daarna gegarandeerd veilig?
Vertel ons waar je app op draait
De kennismaking is gratis. We reageren binnen één werkdag.