Собрали MVP на Lovable за выходные. Почему он всё ещё не готов к запуску

Lovable, Replit и Bolt честно делают то, что обещают: за вечер из описания получается приложение с экранами, базой и входом по почте. Первые пользователи, демо инвестору, всё работает. А потом начинается запуск, и выясняется, что «работает» и «готово к запуску» — разные вещи.

Мы разбираем такие проекты и видим одни и те же проблемы. Вот пять самых частых, и как проверить их у себя за полчаса.

ИИ-конструктор просит ключ от OpenAI или Stripe — и часто вставляет его прямо в код фронтенда. Этот код скачивает браузер каждого посетителя. Значит, ключ видит любой, кто откроет инструменты разработчика.

Как проверить: откройте сайт, нажмите F12, во вкладке «Sources» поищите sk-, key, secret. Если нашли — ключ надо отозвать и перенести на сервер.

Supabase, который используют Lovable и Bolt, защищает данные правилами доступа (RLS). Если их не включить, любой пользователь с публичным ключом может прочитать чужие заказы, переписку или платёжные данные. Приложение при этом работает как ни в чём не бывало.

Как проверить: в Supabase откройте каждую таблицу и посмотрите, включён ли RLS и что разрешают правила. «Разрешить всё всем» — это не правило.

Вы просите ИИ поправить кнопку, а он переписывает форму оплаты. Причина — в проекте нет тестов, и никто не замечает, что сломалось. Чем больше приложение, тем дороже каждая следующая правка.

Как проверить: вспомните, сколько раз за последний месяц «само сломалось» то, что раньше работало. Если больше одного — нужны хотя бы тесты на главные сценарии: регистрация, оплата, основное действие.

Внутри конструктора всё работает, а на своём сервере или домене — нет: переменные окружения не те, адреса вебхуков указывают на тестовую среду, письма уходят в спам.

Как проверить: разверните копию на отдельном домене и пройдите весь путь пользователя от регистрации до оплаты.

Оплата прошла, а доступ пользователь не получил. Обычно это вебхук: платёжная система сообщила об оплате, а приложение не ответило или ответило ошибкой. Деньги списаны, клиент недоволен.

Как проверить: в кабинете платёжной системы посмотрите журнал вебхуков. Ошибки и повторные попытки там видно сразу.

Переписывать с нуля почти никогда не нужно. Обычно хватает двух шагов:

ИИ-конструкторы отлично подходят, чтобы быстро проверить идею. Чтобы на ней зарабатывать, приложению нужен инженерный присмотр — хотя бы один раз перед запуском.

Дмитрий Жданов. Делаем Telegram-ботов, ИИ-ассистентов и доводим MVP до запуска. Если хотите, чтобы мы посмотрели ваш проект, — напишите в личные сообщения.