Il vibe coding è sicuro? I rischi reali e cosa controllare prima di pubblicare

Il vibe coding è sicuro per strumenti personali e prototipi, e può esserlo anche per app reali con utenti veri, ma solo se aggiungi i controlli che il metodo «descrivi e vedi se funziona» salta. I problemi pericolosi non si vedono dallo schermo: utenti che possono aprire i dati degli altri, chiavi segrete nel browser e moduli pubblici senza limiti. Questa guida spiega i rischi che causano davvero problemi, come gestire i segreti, quanta revisione serve e un controllo di 30 minuti da fare prima di pubblicare.

Per l'elenco tecnico completo, vedi la nostra checklist di sicurezza per app create con l'AI. Questa pagina è la versione breve e pratica, pensata per chi non legge il codice.

Perché il vibe coding ha rischi propri

Quando fai vibe coding, giudichi l'app usandola. Così intercetti pulsanti rotti e layout brutti. Non intercetti i problemi che emergono solo quando qualcuno usa l'app in modo diverso da te: un estraneo, un bot, un utente curioso che modifica un indirizzo web.

I modelli AI scrivono codice plausibile, e la maggior parte è corretta. Ma ottimizzano ciò che hai chiesto — «fai mostrare alla dashboard i miei progetti» — e possono non aggiungere la protezione che non hai chiesto — «e solo quelli di nessun altro». La soluzione non è smettere di fare vibe coding. È chiedere esplicitamente le protezioni e poi testarle.

Quanto è rischiosa la tua app? Una scala rapida

Sii onesto su quale riga ti riguarda. Molte app partono dalla prima riga e scivolano nella terza senza che nessuno lo decida.

I rischi che causano davvero problemi

1. Gli utenti possono vedere i dati degli altri

Questo è il problema grave più comune nelle app create con l'AI. La pagina mostra a ogni utente solo i suoi record, quindi sembra funzionare. Ma il server restituirà qualunque record se qualcuno cambia l'ID nella barra degli indirizzi o in una richiesta. Dato che provi sempre come te stesso, non lo vedi mai.

Come verificare: crea due account. Accedi come utente A, apri uno dei record di A e annota l'indirizzo. Accedi come utente B in una finestra privata e incolla quell'indirizzo. Dovresti vedere «non trovato», mai i dati di A.

Prompt:

Controlla ogni endpoint del server che legge, modifica o elimina dati utente. Ciascuno deve confermare che l'utente loggato è autorizzato ad accedere a quello specifico record. Elenca gli endpoint, spiega come ciascuno fa il controllo e correggi quelli che non lo fanno.

2. Segreti nel posto sbagliato

Un segreto è qualunque cosa conceda l'accesso: una chiave API per un servizio AI o email, una password del database, la chiave segreta di un fornitore di pagamenti. Se si trova nel codice eseguito nel browser, chiunque può aprire gli strumenti per sviluppatori e copiarla. Se viene inserita in un repository pubblico, i bot la trovano in poche ore.

Come verificare: chiedi all'AI.

Elenca ogni chiave API, token e password che questa app usa. Per ciascuno, dimmi dove è conservato e se viene mai inviato al browser. Sposta in segreti lato server quelli che si trovano nel codice o nel frontend.

3. Moduli e endpoint pubblici senza limiti

I moduli di contatto, le registrazioni e le funzioni AI vengono trovati dai bot. Senza limiti, ricevi spam, account falsi o una bolletta salata per un'API AI chiamata migliaia di volte.

Prompt:

Aggiungi limiti di frequenza alla registrazione, al login, al modulo di contatto e a ogni endpoint che chiama un servizio AI. Aggiungi un campo honeypot ai moduli pubblici. Dimmi i limiti che hai scelto.

4. Fidarsi del browser

Qualunque cosa decida il browser può essere modificata dall'utente: prezzi, sconti, risposte di un quiz, flag «è amministratore». Le regole importanti devono essere applicate sul server.

Prompt:

Trova ogni punto in cui il browser decide qualcosa che dovrebbe decidere il server: prezzi, totali, permessi, ruoli, punteggi. Sposta questi controlli sul server.

5. Nessuna via di ritorno

Una modifica sbagliata, o una persona malintenzionata, può cancellare dei dati. Senza backup e senza un modo per tornare indietro, un piccolo errore diventa permanente. Assicurati che il tuo tool abbia checkpoint per il codice e backup per il database. Vedi come fare il backup del database della tua app.

Gestire i segreti nel modo giusto

I segreti causano più danni evitabili di qualunque altra cosa, quindi ecco le regole in un unico posto:

• Non incollare mai una chiave reale nella chat. Le chat vengono salvate, condivise e fotografate. Metti le chiavi nei segreti o nelle variabili d'ambiente del tuo tool. (Cosa sono le variabili d'ambiente e i segreti.)
• Chiama i servizi a pagamento dal server. Il browser chiede al tuo server; il server chiama il servizio AI o di pagamento con la chiave.
• Usa chiavi separate per i test e per l'uso reale, così una chiave di test trapelata non può toccare denaro vero.
• Imposta limiti di spesa nelle dashboard dei fornitori di AI ed email.
• Ruota una chiave subito se pensi che sia trapelata. Creane una nuova, aggiorna il segreto, poi elimina quella vecchia.

Su Mythex i segreti si trovano nelle impostazioni del progetto, fuori dal codice, e l'agente può usarli senza che i valori compaiano nella chat. La nostra guida su come tenere al sicuro le chiavi API copre altri fornitori.

Quanta revisione del codice serve?

Fare vibe coding significa non leggere ogni riga. Non è obbligatorio. Ma per alcune righe qualcuno dovrebbe farlo.

• Strumenti personali: nessuna revisione oltre ai controlli di questa pagina.
• App con account utente: verifica come funzionano il login e l'accesso ai dati. Puoi farlo chiedendo all'AI di spiegarlo con parole semplici e controllando che la spiegazione corrisponda a ciò che ti aspetti.
• App con pagamenti o dati sensibili: fai esaminare a uno sviluppatore l'autenticazione, i permessi, la gestione dei pagamenti e tutto ciò che conserva dati personali. Sono poche ore del suo tempo, non una riscrittura.

Un prompt utile anche senza sviluppatore:

Spiega, con parole semplici, come questa app decide chi è un utente e cosa gli è permesso vedere. Indica i file. Poi elenca cosa vorresti che un revisore di sicurezza controllasse.

La nostra guida su come revisionare il codice generato dall'AI spiega cosa cercano i revisori, e puoi consegnarla a chi fa la revisione. Se il tuo tool permette di esportare il codice o di sincronizzarlo con GitHub, organizzare la revisione è semplice; su Mythex entrambe le opzioni fanno parte del piano Pro.

Il controllo di 30 minuti prima della pubblicazione

Esegui questo controllo prima di condividere il link con qualcuno al di fuori della tua cerchia.

Accessi (10 minuti)

1. Due account, due browser: l'utente B può aprire i record di A tramite URL? Non dovrebbe.
2. Esci e visita direttamente l'indirizzo di ogni pagina. Le pagine private dovrebbero rimandarti al login.
3. Come utente normale, apri gli indirizzi di amministrazione. Dovrebbero essere rifiutati.

Segreti (5 minuti)

1. Chiedi all'AI dove si trova ogni chiave, usando il prompt sopra.
2. Apri l'app, visualizza il sorgente della pagina e cerca «key», «secret» e «token».

Moduli e abusi (5 minuti)

1. Invia ogni modulo vuoto, con testi molto lunghi, e due volte di seguito.
2. Verifica che esistano limiti di frequenza su registrazione, login e ogni funzione AI.

Dati e ripristino (5 minuti)

1. Sai dove sono i dati e come ripristinarli?
2. Verifica di poter riportare il codice a una versione precedente funzionante.

Aspetti legali e di base (5 minuti)

1. Se raccogli dati personali, aggiungi un'informativa sulla privacy e spiega cosa raccogli. Vedi come scrivere termini di servizio e informativa sulla privacy.
2. Verifica che l'app pubblicata usi HTTPS. La maggior parte dei builder, Mythex incluso, se ne occupa per te.

Se superi tutti i controlli, sei in buona posizione per un lancio iniziale. Ripeti i passi da 1 a 5 dopo ogni modifica importante a login, ruoli o dati.

Cosa proteggono e cosa no le piattaforme di vibe coding

Una buona piattaforma gestisce gran parte dell'infrastruttura: HTTPS, spazi di lavoro isolati, un database per progetto, archiviazione dei segreti, backup e ripristino. Mythex dà a ogni progetto un proprio spazio di lavoro privato e un database dedicato, tiene i segreti fuori dal codice e salva un checkpoint dopo ogni modifica riuscita, così puoi annullarla.

Quello che nessuna piattaforma può fare è conoscere le regole della tua app. Solo tu sai che i clienti non devono vedere le fatture degli altri, o che un coupon deve funzionare una sola volta. Queste regole devono essere nei tuoi prompt e confermate dai test.

La risposta breve

Il vibe coding è sicuro quanto i controlli che aggiungi. Per uno strumento personale, tieni le chiavi fuori dal codice e divertiti. Per qualunque cosa contenga dati di altre persone, esegui il controllo di 30 minuti qui sopra prima di ogni lancio, e fatti dare un parere da uno sviluppatore per pagamenti e dati sensibili. Per vedere questi rischi in progetti reali, leggi i nostri esempi di vibe coding; per costruire con questi controlli fin dall'inizio, segui come costruire un'app con il vibe coding.

Domande