Lovable alla prova

Lovable è lo strumento per creare app che ha trasformato il vibe coding in un business. Si descrive un’app in una chat, e Lovable ne scrive il codice, configura un database e l’accesso e mette il risultato online. L’azienda di Stoccolma ha debuttato nel novembre 2024. Ad agosto ha raccolto 400 milioni di dollari con una valutazione di 13,3 miliardi, e a settembre il cofondatore Fabian Hedin ha dichiarato che il fatturato annualizzato aveva superato i 600 milioni di dollari.

Sviluppiamo app web e mobile per mestiere, quindi guardiamo Lovable da due lati: come uno strumento che usiamo volentieri e come punto di partenza per app che in seguito devono reggere clienti veri e i loro dati. Ecco che cosa fa bene, dove non basta e quanto costa restarci.

Che cosa fa bene

Per una prima versione, Lovable impressiona davvero. Nel nostro utilizzo, una frase diventa nel giro di un pomeriggio un’app funzionante, con schermate, accesso, database e un link pubblico, senza aprire un editor. Un’idea si può provare su persone reali prima che qualcuno scriva una specifica, e questo cambia il modo in cui si mettono alla prova le idee nelle prime fasi.

Molti vogliono proprio questo. Lovable afferma che dal lancio i suoi utenti hanno creato più di 60 milioni di progetti, che le app realizzate con la piattaforma ricevono oltre 900 milioni di visite al mese e che la usano dipendenti di quasi due terzi delle aziende della Fortune 500. In un sondaggio tra i suoi utenti, quasi otto su dieci hanno detto di costruire un’attività o un progetto parallelo da cui sperano di guadagnare.

Lovable ha anche investito nella sicurezza. Da giugno, a ogni pubblicazione di un’app una scansione di base controlla la configurazione, lo schema del database e le relative regole di accesso, e gli amministratori possono bloccare la pubblicazione finché restano problemi critici. Lovable dichiara apertamente il limite: la scansione di base non analizza il codice dell’applicazione alla ricerca di errori logici.

Tutto si somiglia

La nostra riserva principale riguarda il gusto, ed è un’opinione nata dall’uso, non una misurazione. Le app create con Lovable tendono ad assomigliarsi: gli stessi layout, le stesse card, gli stessi gradienti morbidi, uno stile che si riconosce dopo pochi lanci. Per un prototipo non conta. Per un marchio sì, perché la prima cosa che un cliente nota è che nessuno ha deciso quale sensazione debba trasmettere il prodotto.

Buoni prompt, riferimenti e un design system possono indirizzarlo. Ma le impostazioni predefinite tirano verso la media, e la maggior parte delle persone non le cambia.

Chi risponde della sicurezza

La questione più seria è la sicurezza. Nel marzo 2025 Matt Palmer, allora alla concorrente Replit, ha scoperto che un sito realizzato con Lovable esponeva i dati dei suoi utenti, perché le regole del database che stabiliscono chi può leggere quali righe mancavano o erano sbagliate. Analizzando 1'645 progetti della vetrina di Lovable stessa, lui e i colleghi ricercatori hanno trovato 303 endpoint vulnerabili in 170 di essi, che esponevano nomi, email, dati di pagamento e chiavi API degli sviluppatori. La falla è stata registrata come CVE-2025-48757, con un punteggio di gravità di 9,3 su 10. Lovable la contesta, sostenendo che ogni cliente è responsabile della protezione dei dati della propria app.

Nell’aprile 2026 un ricercatore ha mostrato che qualsiasi account Lovable poteva leggere il codice sorgente e la cronologia delle chat con l’IA dei progetti pubblici di altri utenti. In un primo momento Lovable ha scritto su X: «Per essere chiari: non abbiamo subito alcuna violazione dei dati.» Due giorni dopo ha pubblicato un resoconto più completo: una modifica di febbraio aveva riaperto un accesso chiuso nel 2025, le segnalazioni al suo programma di bug bounty erano state archiviate senza escalation, e sia il prodotto sia la prima risposta erano stati inadeguati. The Register ha definito l’episodio «una lezione su come non rispondere alle segnalazioni di vulnerabilità».

Il fenomeno va oltre Lovable. A settembre la società di sicurezza UpGuard ha trovato circa 16'000 database su Supabase, il servizio di database su cui poggiano le app di Lovable, con tabelle leggibili da chiunque, molte delle quali contenenti dati personali, e TechCrunch ha collegato l’ondata alle app costruite in fretta con l’IA. Supabase afferma che i suoi progetti sono sicuri per impostazione predefinita e che i clienti controllano la propria configurazione. Possono essere vere entrambe le cose. In mezzo sta spesso un fondatore che non ha mai dovuto imparare che cosa sia una regola del database.

Lock-in e costi

Il codice, di per sé, si può portare via. La documentazione di Lovable afferma che app, codice e contenuti che create sono vostri, che ogni piano può sincronizzarsi con un repository GitHub e che il frontend può essere ospitato ovunque. Il backend è un’altra storia. Se un’app gira su Lovable Cloud, le vie d’uscita supportate sono Supabase in versione gestita o self-hosted. Spostare solo il database lascia indietro l’accesso, l’archiviazione dei file, le funzioni in tempo reale e le edge function, e per un PostgreSQL standard o un altro fornitore Lovable dichiara di non supportare il trasferimento. L’editor e il suo agente, invece, non si possono ospitare in proprio in alcun modo.

I costi si basano sui crediti. Pro parte da 25 dollari al mese per 100 crediti e Business da 50 dollari, ed entrambi salgono fino a 10'000 crediti; 1'200 crediti su Pro costano 294 dollari al mese. Finché un’app resta su Lovable, l’hosting, le funzioni di IA e i connettori consumano gli stessi crediti dello sviluppo.

Una prima versione costa poco. Ciò che è difficile prevedere, nella nostra esperienza, è il costo di ogni modifica quando un’app è cresciuta. Ogni prompt modifica codice che nessuno da parte vostra ha scritto né letto, e con decine di schermate, ruoli e flussi di pagamento una correzione in un punto può romperne un altro, e anche la riparazione si paga in crediti.

Il nostro giudizio

Lovable è uno dei modi più rapidi per mettere un’idea davanti alle persone, ed è un piacere usarlo. Usatelo per prototipi, per i pitch e per strumenti interni che non contengono dati sensibili. Prima che arrivino clienti veri e i loro dati, collegate GitHub fin dal primo giorno, fate controllare ogni regola del database da qualcuno che conosce la sicurezza e decidete se l’app debba restare su Lovable Cloud.

È a questo passo successivo che serve Werk. Costruiamo app web e mobile con i nostri clienti sulla piattaforma che abbiamo creato per i nostri prodotti, dove account, ruoli e pagamenti vengono realizzati una volta sola e testati, ogni rilascio passa dalla revisione di una persona e il codice sorgente è vostro. Un prototipo fatto con Lovable è un buon brief.