Lovable a prueba

Lovable es el creador de apps que convirtió el vibe coding en un negocio. Describes una app en un chat, y Lovable escribe el código, configura una base de datos y el inicio de sesión, y publica el resultado en internet. La empresa, con sede en Estocolmo, se lanzó en noviembre de 2024. En agosto levantó 400 millones de dólares con una valoración de 13,3 mil millones, y en septiembre su cofundador Fabian Hedin dijo que los ingresos anualizados habían superado los 600 millones de dólares.

Nos ganamos la vida construyendo apps web y móviles, así que miramos Lovable desde dos lados: como una herramienta que disfrutamos usando y como punto de partida de apps que más adelante tendrán que sostener clientes reales y sus datos. Esto es lo que hace bien, dónde se queda corto y cuánto cuesta quedarse.

Lo que hace bien

Para una primera versión, Lovable impresiona de verdad. En nuestro uso, una frase se convierte en una tarde en una app que funciona, con pantallas, inicio de sesión, base de datos y un enlace público, sin abrir un editor. Una idea puede probarse con personas reales antes de que nadie escriba una especificación, y eso cambia la forma de poner a prueba las ideas en su fase inicial.

Mucha gente quiere exactamente eso. Lovable dice que sus usuarios han creado más de 60 millones de proyectos desde el lanzamiento, que las apps hechas con Lovable reciben más de 900 millones de visitas al mes y que lo usan empleados de casi dos tercios de las empresas de la Fortune 500. En una encuesta entre sus usuarios, casi ocho de cada diez dijeron que estaban construyendo un negocio o un proyecto paralelo con el que esperan ganar dinero.

Lovable también ha invertido en seguridad. Desde junio, un análisis básico revisa la configuración, el esquema de la base de datos y sus reglas de acceso cada vez que se publica una app, y los administradores pueden bloquear la publicación mientras queden problemas críticos. Lovable reconoce abiertamente el límite: el análisis básico no examina el código de la aplicación en busca de fallos de lógica.

Todo se parece

Nuestra principal reserva es de gusto, y es nuestra opinión tras usarlo, no una medición. Las apps creadas con Lovable tienden a parecerse: las mismas estructuras de página, las mismas tarjetas, los mismos degradados suaves, un estilo que se reconoce al cabo de unos cuantos lanzamientos. Para un prototipo, eso no importa. Para una marca, sí, porque lo primero que nota un cliente es que nadie decidió cómo debía sentirse el producto.

Con buenos prompts, referencias y un sistema de diseño se puede reconducir. Pero lo predeterminado tira hacia la media, y la mayoría de la gente se queda con lo predeterminado.

Quién responde de la seguridad

La cuestión más seria es la seguridad. En marzo de 2025, Matt Palmer, entonces en la competidora Replit, descubrió que un sitio creado con Lovable exponía los datos de sus usuarios, porque las reglas de la base de datos que deciden quién puede leer qué filas faltaban o estaban mal. Al analizar 1'645 proyectos del propio escaparate de Lovable, él y sus compañeros investigadores encontraron 303 endpoints vulnerables en 170 de ellos, que exponían nombres, correos electrónicos, datos de pago y claves de API de los desarrolladores. El fallo se registró como CVE-2025-48757, con una puntuación de gravedad de 9,3 sobre 10. Lovable lo cuestiona, con el argumento de que cada cliente es responsable de proteger los datos de su propia app.

En abril de 2026, un investigador demostró que cualquier cuenta de Lovable podía leer el código fuente y el historial de chat con la IA de los proyectos públicos de otros usuarios. Lovable escribió primero en X: «Para que quede claro: no hemos sufrido una filtración de datos». Dos días después publicó una explicación más completa: un cambio de febrero había vuelto a abrir un acceso que había cerrado en 2025, los avisos a su programa de recompensas por errores se habían cerrado sin escalarse, y tanto su producto como su primera respuesta se habían quedado cortos. The Register calificó el episodio de «una lección sobre cómo no responder a los avisos de vulnerabilidades».

El patrón va más allá de Lovable. En septiembre, la empresa de seguridad UpGuard encontró unas 16'000 bases de datos en Supabase, el servicio de bases de datos que hay detrás de las apps de Lovable, con tablas que cualquiera podía leer, muchas de ellas con datos personales, y TechCrunch relacionó la oleada con apps creadas deprisa con IA. Supabase dice que sus proyectos son seguros por defecto y que los clientes controlan su propia configuración. Ambas cosas pueden ser ciertas. Entre una y otra suele quedar un fundador que nunca tuvo que aprender qué es una regla de base de datos.

Dependencia y coste

El código en sí se puede llevar. La documentación de Lovable dice que las apps, el código y el contenido que creas son tuyos, que todos los planes pueden sincronizarse con un repositorio de GitHub y que el frontend puede alojarse en cualquier parte. El backend es otra historia. Si una app funciona en Lovable Cloud, las vías de salida admitidas son Supabase gestionado o autoalojado. Mover solo la base de datos no mueve el inicio de sesión, el almacenamiento de archivos, las funciones en tiempo real ni las edge functions, y Lovable dice que no da soporte para migrar a un PostgreSQL convencional ni a otro proveedor. El editor y su agente no pueden autoalojarse en absoluto.

El coste funciona con créditos. Pro empieza en 25 dólares al mes por 100 créditos y Business en 50 dólares, y ambos escalan hasta 10'000 créditos; 1'200 créditos en Pro cuestan 294 dólares al mes. Mientras una app siga en Lovable, su alojamiento, sus funciones de IA y sus conectores consumen los mismos créditos que la construcción.

Una primera versión es barata. Lo difícil de prever, en nuestra experiencia, es el coste de cada cambio una vez que la app ha crecido. Cada prompt edita código que nadie de tu lado escribió ni leyó, y con decenas de pantallas, roles y flujos de pago, un arreglo en un sitio puede romper otro, y la reparación también se paga en créditos.

Nuestro veredicto

Lovable es una de las formas más rápidas de poner una idea delante de la gente, y da gusto usarlo. Úsalo para prototipos, presentaciones y herramientas internas que no contengan datos sensibles. Antes de que lleguen clientes reales y sus datos, conecta GitHub desde el primer día, haz que alguien que sepa de seguridad revise cada regla de la base de datos y decide si la app debe quedarse en Lovable Cloud.

Para ese siguiente paso existe Werk. Construimos apps web y móviles con nuestros clientes sobre la plataforma que creamos para nuestros propios productos, donde las cuentas, los roles y los pagos se hacen una vez y se prueban, las personas revisan cada versión y el código fuente es tuyo. Un prototipo de Lovable es un buen brief.