Verifique quem realmente pode ver seus dados
Descubra — antes que seus clientes — se as coisas que você considera privadas realmente são.
Quando usar
Antes do lançamento, e sempre que você adicionar logins, um portal ou qualquer coisa que os clientes enviem.
Antes de começar
- Um aplicativo que tenha logins e armazene algo (envios de formulários contam).
- Uma segunda conta de teste que NÃO seja de administrador — você precisará dela para verificar. Crie uma agora.
- Cinco minutos para testar de fato depois; o relatório do prompt não é uma prova por si só.
O prompt
Esses prompts funcionam melhor em inglês — cole-os como estão, mesmo em páginas traduzidas.
Audit who can access what in this app, and fix anything that is open when it should not be. First, list every type of information the app stores and every page, and tell me for each one whether it can be reached by: a visitor who is not logged in, a normal logged-in user, and an admin. Present it as a simple table in plain language. Then fix every case where information is reachable by someone who should not have it. Two rules for the fixes: the restriction must be enforced on the data itself, not only by hiding a link or a button; and a person must never be able to see another person's records by changing something in the address bar. Specifically check: form submissions and customer messages, uploaded files, user profiles and contact details, any admin screens, and anything marked private or paid. Do not change what the app does or how it looks. When you are finished, show me the same table again with the fixes applied, and tell me plainly if anything is still open.
Já está criando? Cole isto no seu projeto. Começando do zero? Abra uma conta gratuita em um criador compatível abaixo.
Crie em
O que isto cria
- Uma tabela em linguagem simples de quem pode acessar o quê
- Correções aplicadas em nível de dados para qualquer coisa exposta incorretamente
- Uma tabela posterior mostrando o estado corrigido
- Uma nota honesta sobre qualquer coisa que ainda esteja aberta
Confira se funcionou
Cole o prompt, espere a construção terminar e então confirme estes pontos — em linguagem simples, sem verificações técnicas:
- Você recebe uma tabela de antes e depois que você realmente consegue ler
- Desconectado, você não consegue abrir nenhuma página que exija login — digitar o endereço diretamente também falha
- Logado como a conta de teste normal, você não consegue acessar telas de administrador ou registros de outras pessoas
- Arquivos enviados e envios de formulários não podem ser visualizados por estranhos
- Qualquer coisa que o relatório diga que está "ainda aberta" é algo que você decidiu conscientemente deixar aberto
Faltou algo? É normal — peça em uma mensagem curta de acompanhamento em vez de rodar o prompt inteiro de novo.
Próximos passos
Restringir uploads de arquivos
Se seu aplicativo aceita documentos ou fotos
Make uploaded files private by default: only the person who uploaded a file and an admin can open it, links to files must not be guessable or shareable to outsiders, and files must not be listed publicly anywhere. Confirm what happens if someone who is not logged in tries to open a file link directly.
Você saberá que funcionou quando: Abrir um link de arquivo em uma janela sem login falha em vez de mostrar o arquivo.
Adicionar um caminho para "excluir meus dados"
Antes do lançamento, se você atende a Europa, Brasil ou Califórnia
Add a way for a user to request deletion of their account and personal data from their account page, and an admin screen where I can see and action those requests. Explain in plain language what gets deleted and what has to be kept for legal reasons, and confirm the request by email.
Você saberá que funcionou quando: Um usuário de teste pode solicitar a exclusão e você pode visualizar e concluir a solicitação.
Manter segredos fora do site
Após conectar qualquer serviço externo
Check that no passwords, API keys or private credentials appear anywhere in the site's pages, links or public files, and that all of them are stored in the platform's secure settings instead. List anything you find and where it is.
Você saberá que funcionou quando: Você recebe uma confirmação explícita de que nada sensível está exposto, ou uma lista do que precisa ser movido.
Fique atento a
- Um relatório não é um teste. Sempre verifique com a segunda conta e com uma janela de navegador desconectada. Estes são os dez minutos mais valiosos de toda esta biblioteca.
- Esconder não é proteger. Se a correção foi "remover o link", não está corrigido. O prompt diz nível de dados duas vezes exatamente por esse motivo — verifique se a resposta fala sobre regras, não visibilidade.
- Uploads de arquivos são a porta esquecida. As pessoas protegem páginas e esquecem que documentos enviados podem ficar em um endereço público. Pergunte especificamente se o relatório não os mencionar.
- Dados regulamentados elevam o padrão. Dados de saúde, financeiros e de crianças carregam requisitos legais além das boas práticas — este prompt é uma base, não um conselho de conformidade.
Notas por plataforma
Base44 e Lovable aplicam regras de acesso em nível de dados quando solicitado explicitamente — por isso este prompt menciona isso duas vezes. No v0, a aplicação reside em qualquer backend que você conectou, portanto, execute isso contra as regras desse serviço.
Gaste menos créditos
Toda plataforma cobra pelo trabalho que a IA dela faz — então o hábito mais barato é pensar antes de construir. Estas seis regras cortam a maior parte do desperdício, qualquer que seja a plataforma.
- Planeje primeiro em um chat gratuito. Esboce tudo no ChatGPT, Claude ou Gemini — páginas, recursos, o que cada formulário coleta, como deve ficar. Pensar lá é grátis; pensar dentro de um builder é cobrado.
- Comece com um prompt escrito, não com uma frase. "Faça um site para mim" é a frase mais cara na construção com IA. Um primeiro prompt completo — como os deste site — economiza dezenas de rodadas de correção.
- Não tenha preguiça dos detalhes. Cada detalhe omitido volta como uma correção que você paga. Nome do negócio, cores, cada página, cada campo de formulário, o que acontece após o envio — coloque tudo no primeiro prompt.
- Depois, uma mudança por mensagem. "Arrume o cabeçalho, e o formulário, e as cores" gera um emaranhado que custa mais para desfazer do que economizou.
- Travou? Pare de remendar. Se a mesma correção falhar umas três vezes, não mande uma quarta — descreva o estado final desejado da seção inteira em uma mensagem nova.
- Comece grátis. Faça upgrade quando precisar de mais. Use a cota gratuita para criar e explorar sua primeira versão. Faça upgrade quando precisar de mais uso ou de recursos pagos, e confira os custos de serviços conectados antes de lançar.
Os prompts desta página foram escritos para fazer a maior parte desse trabalho por você — é esse o objetivo deles.
Leia o guia completoPlaybooks relacionados
Prompts relacionados
Revisado em: 2026-07-27