Publicação
OKEvidência: Publicado em nova-espetacular-app.lovable.app. Roda em subdomínio *.lovable.app.
Recomendação: Para clientes pagantes, mover para domínio próprio em Settings → Domains e revisar política de cache.
Voltar ao portfólio
IA & Assistentes
L.I.A — Aprovação de Projetos
Lógica Inteligente Assistiva para aprovação de projetos urbanísticos.
Descrição completa
Lógica Inteligente Assistiva para aprovação de projetos urbanísticos.
Stack atual: IA, DB, PDF. Já está publicado e acessível via URL pública.
Estágio atual: MVP (55% de maturidade estimada). O foco do próximo ciclo deve ser fechar os gaps de segurança listados ao lado, antes de abrir para clientes externos.
Diagnóstico desse app
4 OK2 Atenção1 Crítico
Visão por área com a evidência usada para classificar cada status e a ação concreta para mudar de patamar.
GitHub / código-fonte
CríticoEvidência: Repositório GitHub não está conectado — código vive apenas dentro do Lovable.
Recomendação: Menu (+) → GitHub → Connect project. Habilita backup, code review e CI/CD próprio.
Autenticação
OKEvidência: App não exige login — sem superfície de auth a proteger.
Recomendação: Se um dia exigir conta, ativar email/senha + Google e já incluir MFA + HIBP.
Banco de dados & RLS
OKEvidência: 4/4 controles aplicados. Pendentes: nenhum.
Recomendação: Rodar o scanner de segurança do Cloud mensalmente.
Uploads (Storage / PDF)
OKEvidência: 3/3 controles. Pendentes: nenhum.
Recomendação: Auditar buckets a cada release e renovar signed URLs com janela curta.
IA & custos
AtençãoEvidência: 3/4 controles. Pendentes: Moderação de prompts e respostas.
Recomendação: Pré-filtro de prompt (lista de termos + moderation API) e logar input/output para auditoria.
Baseline (logs, SEO, validação)
AtençãoEvidência: 4/5 fundamentos no lugar. Pendentes: Logs estruturados + Sentry no client e server.
Recomendação: Instalar Sentry no client e nas server functions; capturar erros com user.id e contexto da rota.
Riscos e recomendações prioritárias
- 1AltoIA & custos
Moderação de prompts e respostas
Por quê: Sem teto de uso, o custo de IA escala silenciosamente e prompts maliciosos passam.
Ação: Pré-filtro de prompt (lista de termos + moderation API) e logar input/output para auditoria.
- 2MédioBaseline (todo app deveria ter)
Logs estruturados + Sentry no client e server
Por quê: Sem observabilidade, você descobre o incidente pelo cliente reclamando.
Ação: Instalar Sentry no client e nas server functions; capturar erros com user.id e contexto da rota.
- 3MédioEspecíficos deste app
Auth com MFA + HIBP
Por quê: Conta sequestrada vira porta de entrada para todo o resto.
Ação: Cloud → Users → Auth Settings → habilitar MFA (TOTP) e exigir para roles admin.
- 4MédioEspecíficos deste app
Revisão de RLS por tabela
Por quê: Sem RLS/GRANT correto, qualquer usuário pode ler ou alterar dados de outros.
Ação: Para cada tabela em public.*: ALTER TABLE … ENABLE ROW LEVEL SECURITY + policy escrita com auth.uid().
- 5MédioEspecíficos deste app
Rate limit nas APIs
Por quê: Sem rate limit, um único usuário derruba ou inflaciona o custo do serviço.
Ação: Middleware por IP+user_id (ex: 60 req/min) com bucket no Redis ou tabela com TTL.
- 6MédioEspecíficos deste app
Limite de uso por usuário
Por quê: Item pendente do checklist — endereçar antes de abrir para clientes externos.
Ação: Tabela ai_usage(user_id, day, tokens) + checagem no início de cada chamada; bloqueio acima do teto.
- 7MédioEspecíficos deste app
Custos por chamada monitorados
Por quê: Sem teto de uso, o custo de IA escala silenciosamente e prompts maliciosos passam.
Ação: Implementar: Custos por chamada monitorados.
- 8MédioEspecíficos deste app
Versionamento dos critérios normativos
Por quê: Item pendente do checklist — endereçar antes de abrir para clientes externos.
Ação: Implementar: Versionamento dos critérios normativos.
Checklist completo
14/22 (64%)Cada item traz status (OK · Atenção · Crítico) e, quando pendente, a recomendação específica de correção.
Baseline (todo app deveria ter)
4/5 OK- Validação Zod em toda server functionOK
- Rate limit por usuário/IPOK
- Logs estruturados + Sentry no client e serverAtenção
Como corrigir: Instalar Sentry no client e nas server functions; capturar erros com user.id e contexto da rota.
- SEO mínimo (head/meta + OG) por rota públicaOK
- Páginas de Privacidade e TermosOK
IA & custos
3/4 OK- Orçamento mensal por usuárioOK
- Moderação de prompts e respostasAtenção
Como corrigir: Pré-filtro de prompt (lista de termos + moderation API) e logar input/output para auditoria.
- Logs de uso e custo por chamadaOK
- Fallback quando o provedor falhaOK
Banco de dados & RLS
4/4 OK- RLS habilitada em todas as tabelas public.*OK
- GRANTs explícitos por papelOK
- Policies revisadas com testesOK
- Backups com plano de restore validadoOK
Upload e processamento de PDF
3/3 OK- Validar tipo/tamanho antes de processarOK
- Sanitizar conteúdo extraídoOK
- Antivírus / scan de malwareOK
Específicos deste app
0/6 OK- Auth com MFA + HIBPAtenção
Como corrigir: Cloud → Users → Auth Settings → habilitar MFA (TOTP) e exigir para roles admin.
- Revisão de RLS por tabelaAtenção
Como corrigir: Para cada tabela em public.*: ALTER TABLE … ENABLE ROW LEVEL SECURITY + policy escrita com auth.uid().
- Rate limit nas APIsAtenção
Como corrigir: Middleware por IP+user_id (ex: 60 req/min) com bucket no Redis ou tabela com TTL.
- Limite de uso por usuárioAtenção
Como corrigir: Tabela ai_usage(user_id, day, tokens) + checagem no início de cada chamada; bloqueio acima do teto.
- Custos por chamada monitoradosAtenção
Como corrigir: Implementar: Custos por chamada monitorados.
- Versionamento dos critérios normativosAtenção
Como corrigir: Implementar: Versionamento dos critérios normativos.
Histórico de mudanças
- InícioProjeto criado no Lovable — categoria ia.
- ConstruçãoStack montada: IA, DB, PDF.
- PublicaçãoPublicado em nova-espetacular-app.lovable.app.
- HojeMaturidade estimada em 55% (MVP). 8 item(ns) pendente(s) de segurança.
Edite src/data/apps.ts e adicione um array changelog ao app para registrar marcos manuais.