En app du har byggt med Lovable, Bolt, v0, Cursor eller Replit kan verka färdig när den fungerar på din skärm. Men innan du släpper in riktiga användare och betalande kunder bör den granskas inom fyra områden: åtkomstregler i databasen, hemligheter i koden, behörigheter på servern samt drift och backup. GothiaAI LaunchReady är vår tjänst för detta: en granskning från 9 900 kr med rapport inom 5–10 arbetsdagar, följd av de åtgärder du väljer.

Varför en fungerande app inte är samma sak som en säker app

AI-verktyg bygger kod som körs. Ingenting i uppgiften "gör så att det fungerar" belönar kod som nekar fel person tillgång. Därför kan appen visa rätt data för den inloggade användaren och samtidigt lämna samma data öppen för alla som frågar databasen direkt.

Ett dokumenterat exempel är CVE-2025-48757. Säkerhetsforskaren Matt Palmer redovisade att en genomgång av 1 645 Lovable-projekt i mars 2025 hittade otillräckliga åtkomstregler (Row Level Security, RLS) i 170 av dem, alltså 10,3 procent, med 303 sårbara databasanrop. Orsaken var ett mönster som återkom i många appar: tabeller som skapats utan regler för vem som får läsa dem. Läs hans redovisning och posten hos NVD.

Fyra områden som bör granskas

Databasens åtkomstregler

Om appen använder Supabase eller liknande skickas en publik nyckel till webbläsaren och det är meningen. Det som hindrar en främmande person från att läsa alla rader är tabellreglerna. Saknas det kan vem som helst som öppnar appen be om hela tabellen: användare, e-postadresser och ordrar.

Hemligheter i koden

Vissa nycklar är avsedda att vara publika. Andra, till exempel en betaltjänsts hemliga nyckel, en AI-leverantörs nyckel eller databasens servicenyckel, ger den som har dem rätt att ta betalt, förbruka din budget eller kringgå alla regler. AI-verktyg placerar ibland nycklar där funktionen fungerar bäst och det kan vara direkt i koden som skickas till webbläsaren.

Behörigheter på servern

En adminsida som döljs för vanliga användare ser ut som säkerhet. Men att dölja sidan döljer bara knappen. Anropet bakom den går att skicka direkt. Kontrollen måste göras på servern där användaren inte har åtkomst. Samma sak gäller när man byter ut ett id i en adress och ser någon annans inlägg.

Backup, loggning och drift

Många AI-byggda appar saknar säkerhetskopiering och ingen har testat att återställa. Felhantering och loggning saknas ofta, så problem märks först när en användare hör av sig. Hosting, domän, HTTPS och miljövariabler behöver också finnas på plats i en miljö som du har kontroll över.

Dessutom granskar vi hur personuppgifter flödar: vilka som sparas, vilka loggar som innehåller dem och vilka externa tjänster och AI-integrationer de skickas till. Det är underlag för ditt eget GDPR-arbete och ersätter inte en juridisk bedömning.

Kontrollera tre saker själv på fem minuter

Det här ersätter inte en granskning, men visar om det finns synliga problem.

Sök efter hemliga nycklar. Öppna appen i Chrome, tryck F12, gå till fliken Nätverk och ladda om sidan. Tryck Ctrl+Shift+F och sök efter service_role, sk_live och SECRET. Varje träff är en nyckel som aldrig borde ha lämnat servern och som bör bytas direkt.
Kontrollera databasens regler. I Supabase finns under Advisors en säkerhetsvy. En varning om att RLS är avstängt för en tabell betyder att tabellen kan läsas av vem som helst. Stäng inte av varningen, åtgärda den.
Försök öppna någon annans post. Hitta en adress i appen med ett id, till exempel en order eller en profil, och byt id. Gör det även utloggad. Ser du data som inte är din är den öppen för alla.

Så går en granskning med LaunchReady till

Avgränsning. Vi går igenom syfte, användare, teknik och integrationer. Du ger oss läsåtkomst till koden och en testmiljö.
Granskning. Rapporten levereras inom 5 till 10 arbetsdagar med prioriterade brister, rekommenderade åtgärder och en bedömning av om appen kan lanseras.
**Åtgärder.Du väljer vilka åtgärder som ska göras, och vi uppskattar tiden för varje åtgärd. Du godkänner innan arbetet börjar.
Driftsättning och överlämning. Vi sätter appen i drift, kontrollerar de överenskomna delarna och dokumenterar lösningen.

Rapporten är din även om du väljer att göra resten själv eller med någon annan.

Vad kostar det?

Alla priser är exklusive moms.

	Pris
Granskning, liten (en app, en databas, upp till två externa tjänster)	9 900 kr
Granskning, standard (flera roller, betalningar eller AI-integration)	15 900 kr
Granskning, stor	från 25 900 kr
Åtgärder	990 kr per timme
Driftsättningspaket	11 900 kr

Beställer du åtgärder och driftsättning inom 30 dagar efter rapporten räknar vi av halva granskningsavgiften.

Det som inte ingår

LaunchReady är inget penetrationstest med aktiva attacker mot din produktionsmiljö, och den ger ingen juridisk bedömning eller certifiering, till exempel enligt ISO 27001. Nya funktioner ingår inte heller. De offereras separat.

När är det inte värt det?

Om appen bara är en prototyp som du visar för några kollegor och som varken hanterar personuppgifter eller betalningar räcker de tre kontrollerna ovan en tid. Granskningen blir viktig i det ögonblick riktiga användare, betalande kunder eller personuppgifter kommer in.

Vanliga frågor

Kan GothiaAI garantera att appen blir säker? Nej, ingen kan garantera det. Vi åtgärdar de brister vi hittar inom uppdragets omfattning och rapporten visar vad som återstår.

Måste jag bygga om appen? Oftast inte. Brister i AI-byggda appar handlar ofta om inställningar och regler som saknas. Visar granskningen att datamodellen behöver göras om säger vi det rakt ut och du väljer själv hur du går vidare.

Vem äger koden? Du. Kod, data och konton tillhör dig.

Vad händer efter lanseringen? Det bestämmer du. Du kan driva appen själv, låta en annan leverantör ta hand om hostingen eller välja AppCare, där GothiaAI tar över driften med hosting, övervakning, uppdateringar, backuper och support från 2 190 kr per månad. Driftsättningen i LaunchReady anpassas efter det du väljer och kod, data och konton är dina oavsett vilken väg du tar.

Nästa steg

Läs mer om LaunchReady eller mejla info@gothiaai.se med en länk till appen och en kort beskrivning av vad den gör och vilka verktyg den är byggd med.