Sicherheits-Checkliste für Vibe-coded Apps: 12 Punkte, die Sie prüfen sollten, bevor Sie Geld annehmen
Sie haben es an einem Wochenende gebaut, Leute haben sich registriert, jemand will bezahlen. Bevor das passiert, nehmen Sie sich eine Stunde für diese Liste. Nichts davon erfordert, Code zu lesen. Alles davon hat im letzten Jahr eine echte App versenkt.
Vorab: Das ist kein Argument gegen Vibe Coding. Sie haben das schnellste verfügbare Werkzeug genutzt, um herauszufinden, ob es jemanden interessiert - und Sie haben es herausgefunden. „Es läuft“ und „es ist sicher“ sind schlicht verschiedene Eigenschaften, und das Modell, das Ihre App geschrieben hat, wird Ihnen selbstbewusst sagen, dass sie beide hat. Prüfen Sie es.
Secrets
Öffnen Sie Ihre Live-App, drücken Sie F12 und suchen Sie unter Sources und Network nach Zeichenketten, die mit
sk_, sk-, AIza beginnen oder „secret“ enthalten. Alles, was Sie finden, ist öffentlich. Jeder kann damit Ihre OpenAI- oder Stripe-Rechnung in die Höhe treiben - Leute sind so schon mit fünfstelligen Rechnungen aufgewacht.Einen Key aus einer Datei zu löschen, löscht ihn nicht aus der Git-Historie. Wurde einer je gepusht, rotieren Sie ihn noch heute.
Der
service_role-Key von Supabase und Firebase-Admin-Zugangsdaten umgehen jede Regel. Sie gehören ausschließlich auf einen Server.Wer wessen Daten sehen kann
Legen Sie zwei Testkonten an. Melden Sie sich mit einem an und versuchen Sie, die Daten des anderen abzurufen, indem Sie eine ID in der URL oder in einer Anfrage ändern. Wenn Sie sie sehen, sieht sie jeder. Das ist der mit Abstand häufigste Befund in Vibe-coded Apps.
Rufen Sie die Admin-URL auf, während Sie als normaler Nutzer angemeldet sind. Eine Route, die nur nicht verlinkt ist, ist nicht geschützt.
Wenn Sie einen eigenen Login gebaut haben statt die Auth der Plattform zu nutzen, lassen Sie sich vom Modell die Tabelle zeigen. Wenn Sie ein Passwort lesen können, liegt es im Klartext. Wechseln Sie zur Auth der Plattform oder zu einer ordentlichen Bibliothek, bevor sich noch jemand registriert.
Geld
Öffnen Sie die Entwicklertools, suchen Sie das Element, das das Premium-Feature verdeckt, löschen Sie es oder ändern Sie
display:none. Funktioniert das Feature jetzt, liegt Ihre Abo-Prüfung im Frontend. Echte Apps wurden mit zwei Zeilen CSS umgangen. Die Prüfung - „Hat dieser Nutzer ein aktives Abo?“ - muss auf dem Server stattfinden, bei jeder Anfrage.Stripe, RevenueCat und die App Stores senden mit jedem Ereignis eine Signatur. Prüft Ihr Code sie nicht, kann jeder Ihrem Server ein gefälschtes „Zahlung erfolgreich“ schicken.
Testen Sie jeden Fall. Der Happy Path wurde generiert; die anderen Pfade meistens nicht.
Betrieb
Wenn Sie je „etwas getestet“ haben und echte Nutzer es gesehen haben, tun sie es. Getrennte Projekte, getrennte Keys und ein Weg, ein Deployment zurückzurollen.
Besonders bei allem, was ein LLM aufruft oder E-Mails versendet. Ohne Limit macht ein einziges Skript Ihre Token-Rechnung zum Sicherheitsvorfall.
Standardregionen liegen oft in den USA. Analytics-SDKs und KI-Aufrufe senden Daten an Dritte. Sind Ihre Nutzer in Europa, müssen Sie das in einem Satz beantworten können - ein Konzernkunde oder eine Aufsichtsbehörde wird fragen.
Nehmen Sie keine neuen Zahlungen an, bis sie behoben sind, und lassen Sie dann einen Senior-Engineer das Ganze prüfen - das meiste davon ist an einem Nachmittag gefunden und in wenigen Tagen behoben, ohne Rewrite. Wir machen dieses Review in wenigen Tagen und halten schriftlich fest: härten oder neu bauen, mit Begründung.
Vibe-coded → Produktion →Was Sie von außen nicht prüfen können
Die Liste oben fängt die lauten Probleme. Die leisen - ein Datenbankschema, das bei zehnmal so vielen Zeilen zusammenbricht, eine Abhängigkeit mit bekannter Schwachstelle, ein Hintergrundjob, der still fehlschlägt, das Fehlen jedes Tests, der eine Regression vor dem Nutzer bemerken würde - erfordern jemanden, der den Code liest. Das ist ein Review, kein Neubau. Seien Sie vorsichtig bei allen, deren erste Antwort „von Grund auf neu, sechs Monate, sechsstellig“ lautet: Was Sie gebaut haben, ist eine funktionierende Spezifikation, die jede Entscheidung aus Ihren Kundengesprächen enthält. Bezahlen Sie nicht zweimal für dieselbe App.
Die letzten 20 % sind nicht mehr Prompts
Alle Gründer, die ein Produkt per Vibe Coding gebaut haben, kennen die Wand: Jeder Fix macht etwas anderes kaputt, die App wird langsamer, und die Selbstsicherheit des Modells bleibt genau, wo sie war. Das ist kein Prompting-Problem. Es ist der Punkt, an dem Engineering beginnt - Tests, Struktur, langweilige Zuverlässigkeit. Wir liefern unsere eigenen Produkte mit Claude Code aus und wissen genau, wo die Tools brillant sind und wo sie still und leise schummeln. Wenn Sie ein zweites Paar Augen wollen, schicken Sie uns den Repo-Link und das, was Ihnen am meisten Sorgen macht, auf WhatsApp.