Costruire un’applicazione web oggi è diventato facile quasi quanto ordinare una pizza su Deliveroo, ma sembra che qualcuno abbia dimenticato di includere l’ingrediente fondamentale: la sicurezza.
Se siete del mestiere, avrete sentito parlare di Lovable. È quella piattaforma svedese che promette miracoli: tu scrivi due righe in linguaggio naturale, l’IA mastica, digerisce e ti sputa fuori un’app funzionante. Niente più mal di testa con i boilerplate, niente più debugging infinito sui file di configurazione. Un sogno per chi vuole prototipare veloce senza dover affrontare l’incubo di un setup di sviluppo infinito.
Il problema è che, mentre la piattaforma ti rende un ‘supereroe’ del deployment, ti lascia completamente solo quando si tratta di non far uscire i dati di tutti in chiaro su Internet. Una recente indagine ha messo a nudo una situazione piuttosto imbarazzante: analizzando oltre 150.000 progetti, i ricercatori hanno scoperto che decine di migliaia di app espongono database Supabase senza alcuna protezione. Parliamo di email, numeri di telefono, e in alcuni casi decisamente pesanti, numeri di passaporti e messaggi privati.
C’è un forum tedesco che è finito in un mare di guai con 200.000 messaggi in chat accessibili a chiunque, e non solo. Ci sono organizzatori di eventi che hanno lasciato in giro dati di pagamento e codici ticket come se fossero volantini in un bar. È il classico paradosso dell’automazione: l’IA ti regala la velocità di un jet, ma ti ha costruito un aereo con le porte aperte e senza paracadute.
Il punto non è che la tecnologia sia sbagliata — anzi, l’idea di democratizzare lo sviluppo è una figata atomica — ma è l’illusione che ‘non serve saper programmare’ equivalga a ‘non serve sapere come proteggere i dati’. Le clausole di Lovable sono chiare: la responsabilità è tua. Ma se la piattaforma ti vende l’idea di un all-in-one facile e intuitivo, è normale che un utente meno esperto (o un maker che sta solo testando un’idea) pensi che i permessi di base siano già configurati a prova di hacker.
Per noi che mastichiamo codice, il messaggio è chiaro: non fatevi incantare dal marketing. L’automazione della scrittura del codice è un acceleratore incredibile, ma la logica dell’autorizzazione non è un modulo che puoi delegare a un prompt senza controllare cosa succede sotto il cofano. Se usate questi strumenti per gestire dati che non siano semplici liste di ‘to-do’ o cataloghi di piante grasse, tirate fuori il debugger e controllate le policy di accesso. Altrimenti, il prossimo leak potrebbe avere la vostra firma (e i vostri dati personali nel pacchetto).
Source: Lovable apps expose passport details and more than 200K private messages