क्या वाइब कोडिंग सुरक्षित है? असली जोखिम और पब्लिश से पहले क्या जांचें

वाइब कोडिंग निजी टूल्स और प्रोटोटाइप के लिए सुरक्षित है, और असली यूज़र वाले असली ऐप्स के लिए भी सुरक्षित हो सकती है, लेकिन सिर्फ़ तब जब आप वे जाँचें जोड़ें जिन्हें “बस बताओ और देखो काम करता है या नहीं” वाला तरीका छोड़ देता है। खतरनाक दिक्कतें स्क्रीन से नहीं दिखतीं: ऐसे यूज़र जो एक-दूसरे का डेटा खोल सकते हैं, ब्राउज़र में पड़ी सीक्रेट keys, और बिना सीमा वाले सार्वजनिक फॉर्म। यह गाइड उन जोखिमों को समझाती है जो सच में परेशानी करते हैं, सीक्रेट्स को कैसे संभालें, कितनी समीक्षा चाहिए, और पब्लिश से पहले चलाने के लिए 30 मिनट की जाँच।

पूरी तकनीकी सूची के लिए, AI से बने ऐप्स के लिए सुरक्षा चेकलिस्ट देखें। यह पेज उन लोगों के लिए छोटा और व्यावहारिक संस्करण है जो कोड नहीं पढ़ते।

वाइब कोडिंग में अलग जोखिम क्यों हैं

वाइब कोडिंग में आप ऐप को इस्तेमाल करके परखते हैं। इससे टूटे बटन और खराब लेआउट पकड़ में आ जाते हैं। पर जो दिक्कतें तब दिखती हैं जब कोई आपसे अलग तरीके से ऐप इस्तेमाल करे (कोई अजनबी, बॉट, या कोई जिज्ञासु यूज़र जो वेब एड्रेस बदल रहा हो), वे इससे नहीं पकड़ी जातीं।

AI मॉडल सही दिखने वाला कोड लिखते हैं, और उसका ज़्यादातर हिस्सा ठीक होता है। पर वे वही अनुकूलित करते हैं जो आपने माँगा, जैसे “डैशबोर्ड पर मेरे प्रोजेक्ट दिखाओ”, और वह सुरक्षा नहीं जोड़ते जो आपने नहीं माँगी, जैसे “और किसी और के प्रोजेक्ट नहीं”। समाधान वाइब कोडिंग छोड़ना नहीं है। समाधान यह है कि ये सुरक्षाएँ साफ़ शब्दों में माँगें और फिर उन्हें टेस्ट करें।

आपका ऐप कितना जोखिम भरा है? एक त्वरित पैमाना

ईमानदारी से देखें कि आप किस पंक्ति में हैं। कई ऐप पहली पंक्ति से शुरू होते हैं और बिना किसी फैसले के तीसरी पंक्ति में पहुँच जाते हैं।

वे जोखिम जो असली परेशानी करते हैं

1. यूज़र एक-दूसरे का डेटा देख सकते हैं

यह AI से बने ऐप्स की सबसे आम गंभीर दिक्कत है। पेज हर यूज़र को सिर्फ़ उसके रिकॉर्ड दिखाता है, इसलिए सब ठीक लगता है। पर अगर कोई एड्रेस बार में या किसी रिक्वेस्ट में ID बदल दे, तो सर्वर कोई भी रिकॉर्ड लौटा देता है। क्योंकि आप हमेशा खुद को यूज़र मानकर टेस्ट करते हैं, यह आपको कभी नहीं दिखता।

कैसे जाँचें: दो अकाउंट बनाएँ। यूज़र A के रूप में लॉग-इन करें, A का कोई रिकॉर्ड खोलें और उसका एड्रेस नोट करें। फिर किसी प्राइवेट विंडो में यूज़र B के रूप में लॉग-इन करें और वह एड्रेस पेस्ट करें। आपको “नहीं मिला” दिखना चाहिए, A का डेटा कभी नहीं।

प्रॉम्प्ट:

हर सर्वर एंडपॉइंट जाँचो जो यूज़र का डेटा पढ़ता, बदलता या हटाता है। हर एक को पुष्टि करनी चाहिए कि लॉग-इन यूज़र उस खास रिकॉर्ड तक पहुँच सकता है। एंडपॉइंट्स की सूची बनाओ, बताओ कि हर एक कैसे जाँच करता है, और जो जाँच नहीं करते उन्हें ठीक करो।

2. सीक्रेट्स गलत जगह पर

सीक्रेट वह है जो एक्सेस देता है: AI या ईमेल सेवा की API key, डेटाबेस का पासवर्ड, पेमेंट प्रोवाइडर की सीक्रेट key। अगर यह ऐसे कोड में है जो ब्राउज़र में चलता है, तो कोई भी developer tools खोलकर उसे कॉपी कर सकता है। अगर यह किसी सार्वजनिक रिपॉज़िटरी में कमिट हो गई, तो बॉट उसे घंटों में ढूँढ लेते हैं।

कैसे जाँचें: AI से पूछें।

इस ऐप द्वारा इस्तेमाल हर API key, टोकन और पासवर्ड की सूची बनाओ। हर एक के लिए बताओ कि वह कहाँ रखा है और क्या वह कभी ब्राउज़र को भेजा जाता है। जो कोड में या फ्रंटेंड में हैं, उन्हें सर्वर-साइड सीक्रेट्स में ले जाओ।

3. सार्वजनिक फॉर्म और एंडपॉइंट्स पर कोई सीमा नहीं

कॉन्टैक्ट फॉर्म, साइन-अप और AI फ़ीचर बॉट्स को मिल जाते हैं। बिना सीमा के आपको स्पैम, फर्ज़ी अकाउंट, या AI API के हज़ारों बार कॉल होने से भारी बिल मिल सकता है।

प्रॉम्प्ट:

साइन-अप, लॉग-इन, कॉन्टैक्ट फॉर्म और हर उस एंडपॉइंट पर रेट लिमिट जोड़ो जो AI सेवा को कॉल करता है। सार्वजनिक फॉर्म में एक हनीपॉट फ़ील्ड जोड़ो। बताओ कि तुमने कौन-सी सीमाएँ चुनी हैं।

4. ब्राउज़र पर भरोसा करना

ब्राउज़र जो भी तय करता है, यूज़र उसे बदल सकता है: कीमतें, छूट, क्विज़ के जवाब, “is admin” वाले फ्लैग। जो नियम मायने रखते हैं, वे सर्वर पर लागू होने चाहिए।

प्रॉम्प्ट:

ऐसी हर जगह ढूँढो जहाँ ब्राउज़र वह तय करता है जो सर्वर को करना चाहिए: कीमतें, कुल रकम, अनुमतियाँ, भूमिकाएँ, स्कोर। वे जाँचें सर्वर पर ले जाओ।

5. वापस लौटने का रास्ता नहीं

कोई खराब बदलाव, या कोई बुरा इरादे वाला व्यक्ति, डेटा मिटा सकता है। अगर कोई बैकअप और रोलबैक का तरीका नहीं है, तो एक छोटी गलती स्थायी हो जाती है। पक्का करें कि आपके टूल में कोड के लिए चेकपॉइंट और डेटाबेस के लिए बैकअप हैं। अपने ऐप के डेटाबेस का बैकअप कैसे लें देखें।

सीक्रेट्स को सही तरीके से संभालना

सीक्रेट्स से होने वाला टाला जा सकने वाला नुकसान और किसी चीज़ से ज़्यादा होता है, इसलिए नियम एक जगह पर:

• चैट में असली key कभी न डालें। चैट स्टोर होती है, शेयर होती है और स्क्रीनशॉट में आती है। Keys अपने टूल के सीक्रेट्स या एनवायरनमेंट वेरिएबल में रखें। (एनवायरनमेंट वेरिएबल और सीक्रेट्स क्या हैं।)
• पैसे वाली सेवाएँ सर्वर से कॉल करें। ब्राउज़र आपके सर्वर से माँगता है; सर्वर key के साथ AI या पेमेंट सेवा को कॉल करता है।
• टेस्टिंग और लाइव उपयोग के लिए अलग keys रखें, ताकि लीक हुई टेस्ट key असली पैसे तक न पहुँचे।
• खर्च की सीमा लगाएँ AI और ईमेल प्रोवाइडर के डैशबोर्ड में।
• शक हो तो key तुरंत बदलें। नई key बनाएँ, सीक्रेट अपडेट करें, फिर पुरानी key हटाएँ।

Mythex पर सीक्रेट्स प्रोजेक्ट सेटिंग्स में कोड से बाहर रहते हैं, और एजेंट उनका इस्तेमाल कर सकता है बिना उनकी वैल्यू चैट में दिखे। API keys सुरक्षित रखने की गाइड में और प्रोवाइडर्स के बारे में जानकारी है।

कितनी कोड समीक्षा चाहिए?

वाइब कोडिंग का मतलब है कि आप हर लाइन नहीं पढ़ते। आपको ज़रूरत भी नहीं है। पर कुछ लाइनों को किसी को देखना चाहिए।

• निजी टूल्स: यहाँ की जाँचों से आगे कुछ नहीं।
• यूज़र अकाउंट वाले ऐप्स: देखें कि लॉग-इन और डेटा एक्सेस कैसे काम करते हैं। AI से सरल भाषा में समझाने को कहें और जाँचें कि जो समझाया गया वह आपकी अपेक्षा से मेल खाता है।
• पेमेंट या संवेदनशील डेटा वाले ऐप्स: किसी डेवलपर से ऑथेंटिकेशन, अनुमतियाँ, पेमेंट हैंडलिंग और निजी डेटा स्टोर करने वाले हिस्सों को देखवाएँ। यह उनकी कुछ घंटों की मेहनत है, दोबारा लिखना नहीं।

डेवलपर न हो तब भी एक उपयोगी प्रॉम्प्ट:

सरल भाषा में समझाओ कि यह ऐप तय कैसे करता है कि यूज़र कौन है और उसे क्या देखने की अनुमति है। फ़ाइलें बताओ। फिर बताओ कि सुरक्षा समीक्षक को किन बातों को देखना चाहिए।

AI से बने कोड की समीक्षा कैसे करें गाइड बताती है कि समीक्षक क्या देखते हैं, और आप उसे समीक्षा करने वाले को दे सकते हैं। अगर आपका टूल कोड एक्सपोर्ट या GitHub सिंक करने देता है, तो यह समीक्षा आसानी से तय हो जाती है; Mythex पर दोनों सुविधाएँ Pro में शामिल हैं।

पब्लिश से पहले 30 मिनट की जाँच

लिंक अपने दायरे के बाहर किसी से शेयर करने से पहले यह चलाएँ।

एक्सेस (10 मिनट)

1. दो अकाउंट, दो ब्राउज़र: क्या B, A के रिकॉर्ड URL से खोल सकता है? नहीं खुलना चाहिए।
2. लॉग-आउट करें और हर पेज का एड्रेस सीधे खोलें। निजी पेज आपको लॉग-इन पर भेजने चाहिए।
3. सामान्य यूज़र के रूप में एडमिन एड्रेस खोलें। वे अस्वीकार होने चाहिए।

सीक्रेट्स (5 मिनट)

1. ऊपर दिए प्रॉम्प्ट से AI से पूछें कि हर key कहाँ रखी है।
2. ऐप खोलें, पेज सोर्स देखें और “key”, “secret” और “token” खोजें।

फॉर्म और दुरुपयोग (5 मिनट)

1. हर फॉर्म को खाली, बहुत लंबे टेक्स्ट के साथ, और दो बार तुरंत लगातार सबमिट करें।
2. पक्का करें कि साइन-अप, लॉग-इन और किसी भी AI फ़ीचर पर रेट लिमिट हैं।

डेटा और रिकवरी (5 मिनट)

1. जानें कि डेटा कहाँ रहता है और उसे कैसे वापस लाया जाए।
2. जाँचें कि आप कोड को किसी पिछले काम करने वाले संस्करण पर वापस ले जा सकते हैं।

कानूनी और बुनियादी बातें (5 मिनट)

1. अगर आप निजी डेटा इकट्ठा करते हैं, तो प्राइवेसी पॉलिसी जोड़ें और बताएँ कि आप क्या इकट्ठा करते हैं। देखें सेवा की शर्तें और प्राइवेसी पॉलिसी कैसे लिखें।
2. पक्का करें कि प्रकाशित ऐप HTTPS पर चलता है। ज़्यादातर बिल्डर, Mythex सहित, यह आपके लिए संभालते हैं।

अगर सब पास हो जाए, तो शुरुआती लॉन्च के लिए आप ठीक हैं। लॉग-इन, भूमिकाओं या डेटा में किसी बड़े बदलाव के बाद चरण 1–5 दोबारा चलाएँ।

वाइब कोडिंग प्लेटफ़ॉर्म क्या सुरक्षित रखते हैं और क्या नहीं

अच्छा प्लेटफ़ॉर्म बहुत सारा इन्फ्रास्ट्रक्चर संभालता है: HTTPS, अलग-अलग वर्कस्पेस, हर प्रोजेक्ट का अपना डेटाबेस, सीक्रेट्स स्टोरेज, बैकअप और रोलबैक। Mythex हर प्रोजेक्ट को अपना निजी वर्कस्पेस और डेटाबेस देता है, सीक्रेट्स कोड से बाहर रखता है, और हर सफल बदलाव के बाद चेकपॉइंट सेव करता है ताकि आप उसे पलट सकें।

लेकिन कोई भी प्लेटफ़ॉर्म आपके ऐप के नियम नहीं जान सकता। सिर्फ़ आप जानते हैं कि क्लाइंट एक-दूसरे के इनवॉइस न देखें, या कि कूपन एक बार ही चले। ये नियम आपके प्रॉम्प्ट में होने चाहिए और आपके टेस्ट से पक्के होने चाहिए।

संक्षिप्त उत्तर

वाइब कोडिंग उतनी ही सुरक्षित है जितनी वे जाँचें जो आप जोड़ते हैं। निजी टूल के लिए, keys कोड से बाहर रखें और आनंद लें। दूसरे लोगों के डेटा वाले किसी भी चीज़ के लिए, हर लॉन्च से पहले ऊपर दी 30 मिनट की जाँच चलाएँ, और पेमेंट व संवेदनशील डेटा पर किसी डेवलपर की नज़र लें। असली प्रोजेक्ट्स में ये जोखिम देखने के लिए वाइब कोडिंग के उदाहरण पढ़ें; और शुरू से ही इन जाँचों के साथ बनाने के लिए वाइब कोडिंग से ऐप कैसे बनाएँ का पालन करें।

सवाल