Saiba se o seu app pode abrir para pessoas de verdade.
Antes de lançar, o Faundr testa o banco como um estranho e confere chaves, pagamento, o site, a LGPD e o backup. A resposta é um veredito: o que impede o lançamento, o que falta antes de usuários reais e como consertar cada item.
O que costuma dar errado no primeiro dia. Descubra antes de um usuário.
O banco aberto para qualquer um.
O app funciona, mas a chave pública que vai no navegador deixa um estranho ler, alterar ou apagar os dados de todo mundo.
O Faundr confere
- Banco testado como visitante
- E como outra pessoa logada
- Tudo desfeito na hora
Um "pagamento aprovado" falso.
Se o app não confere a assinatura do aviso de pagamento, qualquer pessoa manda um aviso falso e leva o produto sem pagar.
O Faundr confere
- Stripe, Mercado Pago, Asaas e outros
- Webhook com assinatura conferida
- Impede o lançamento se faltar
Funciona no computador, quebra no ar.
Faltou uma variável na hospedagem e o login, o pagamento ou o e-mail param de funcionar no primeiro acesso de verdade.
O Faundr confere
- Cada variável comparada pelo nome
- Computador, exemplo e hospedagem
- Nenhum valor sai da sua máquina
Uma pergunta, um veredito. A resposta sai em poucos minutos.
Peça à sua IA e o Faundr confere tudo na ordem. O seu app só muda com o seu OK.
Você pede
"Posso lançar?"
Ou o /faundr:launch. Também entra sozinho num workflow antes de publicar.
Teste do banco
Como um estranho
Lê, grava, altera e apaga como visitante e como outra pessoa. Desfaz tudo.
O resto
Site, pagamento, LGPD
Cabeçalhos, limite de pedidos, webhook e política de privacidade.
Veredito
Uma frase no painel
O que impede o lançamento, o que falta antes de usuários reais e o conserto.
Um veredito em uma frase. Depois, a lista do que falta, por prioridade.
O painel separa o que impede o lançamento do que pode esperar alguns dias. Cada item diz o que achou e leva para onde o conserto está. Quem decide quando abrir é você.
Ainda não: 1 item impede o lançamento
E mais 5 antes de usuários reais.
- Nenhuma chave ou senha expostaNenhuma chave encontrada no código.Ver em SegurançaPronto
- Banco fechado para visitantesO teste de hoje achou 1 porta aberta no banco (lista em Segurança).Ver em SegurançaFalta
- Nenhum problema crítico de segurançaNenhum crítico em aberto.Ver em SegurançaPronto
- Pagamento confirmado pelo webhook assinadoStripe: o webhook confere a assinatura.Pronto
O Faundr tenta invadir o seu banco. E desfaz tudo na hora.
Com a chave pública do app, a mesma que vai no navegador, ele lê cada tabela como um visitante. Depois tenta gravar, alterar e apagar como visitante e como uma pessoa logada que não é a dona dos dados. Cada tentativa é desfeita antes de terminar.
Banco testado: lojinha.supabase.co
Tabelas testadas: 6 · leitura pela chave pública: sim · gravar/alterar/apagar como visitante e como outra pessoa: sim (tudo desfeito)
[crítico] Qualquer visitante lê a tabela perfis (214 linhas)
[alto] Qualquer pessoa logada altera dados dos outros na tabela pedidos
O conserto já vem escrito
Cada porta aberta vira um problema em Segurança, com a regra pronta para colar:
using (auth.uid() = user_id)
Sua chave não sai do computador. O teste roda na sua máquina e nunca manda a chave para o Faundr. Antes de testar o banco, o agente pede o seu OK.
Cada variável está onde precisa? O Faundr compara só os nomes. Os valores ficam em sigilo.
O erro mais comum ao publicar: funciona no computador e quebra no ar porque faltou uma variável na hospedagem. O Faundr compara o que o código lê com o arquivo de exemplo, o seu computador e a hospedagem, a cada sessão.
| Variável | Lida pelo código | No exemplo | No seu computador | No ar (Cloudflare) |
|---|---|---|---|---|
| VITE_SUPABASE_URL | sim | sim | sim | sim |
| STRIPE_SECRET_KEY | sim | sim | sim | não |
| RESEND_API_KEY | sim | não | sim | sim |
Quebra no ar. STRIPE_SECRET_KEY é lida pelo código mas não está na hospedagem: essa parte do app quebra no ar.
Fora do arquivo de exemplo. RESEND_API_KEY não está no .env.example: quem for configurar o projeto não sabe que ela existe.
LGPD para quem não programa. Ele nunca vê os dados dos seus usuários.
O Faundr lê o código e lista os dados pessoais que o app coleta e para quais empresas eles vão. Depois o /faundr:privacy escreve os rascunhos da política de privacidade, dos termos de uso e do aviso de cookies, um de cada vez, com o seu OK.
O que fazer
- Política de privacidadeFalta
- Termos de usoFalta
- Consentimento de cookiesFalta
- Excluir a conta e os dadosPronto
- Dados sensíveisAtenção
- Empresas que recebem os dadosPronto
Dados pessoais que o app coleta
- Nome tela Cadastro
- E-mail login
- CPF ou documento banco perfis.cpf
- Endereço tela Entrega
- Saúde sensívelbanco anamnese.alergias
Para quem os dados vão
- SupabaseRecebe: todos os dados do bancofora do Brasil
- StripeRecebe: nome, e-mail e pagamentofora do Brasil
- Google AnalyticsRecebe: IP e aparelhorastreadorusa cookies
Antes de escrever, o agente pergunta o que o código não diz: o nome do responsável, o CNPJ ou CPF, o e-mail de privacidade e por quanto tempo os dados ficam depois que a conta é excluída.
No ar, o Faundr continua de olho. Você fica sabendo primeiro.
Lançar é o começo. O que pode quebrar depois também tem alguém olhando.
- Erros do app chegam explicados
O Faundr instala o SDK oficial do Sentry apontando para ele mesmo. Não precisa de conta no Sentry. Cada erro chega em linguagem clara, com quantas pessoas pegaram.
- Aviso quando o site cair
O site é conferido a cada 5 minutos. Caiu, vira um erro no painel.
- Backup testado de verdade
Você marca quando testou a restauração. Depois de 90 dias o item volta para Atenção e lembra de testar de novo.
- Banco de verdade protegido
Antes de aplicar migrações no banco do ar, o agente para e pergunta. Apagar a tabela inteira ou zerar o banco remoto é barrado.
A IA constrói o app. O Faundr confere se ele pode ir ao ar.
Sozinho, o seu agente de programação diz que terminou quando o app funciona no seu computador. Com o Faundr, você sabe o que ainda expõe dados ou dinheiro antes de abrir para o público.
Perguntas
O teste do banco mexe nos meus dados?
Não. Cada tentativa de gravar, alterar ou apagar é desfeita antes de terminar, e mexe em no máximo uma linha. O agente pede o seu OK antes de rodar.
Funciona só com Supabase?
O teste do banco, sim. O resto da conferência (chaves, pagamento, cabeçalhos, limites, LGPD, variáveis) vale para qualquer projeto.
Os rascunhos da LGPD valem como documento jurídico?
Use como ponto de partida. Eles são feitos com os dados que o seu app coleta de verdade, e um advogado deve revisar antes de publicar.
Preciso rodar tudo isso na mão?
Não. Peça "posso lançar?" ou rode /faundr:launch. Dá também para pôr a conferência num workflow que roda antes de cada publicação.
Meu código ou minhas chaves vão para o Faundr?
Não. As checagens rodam no seu computador. Para o painel vão só os achados, sem valores de chaves e sem dados de pessoas.