Lovable em análise

O Lovable é o criador de apps que transformou o vibe coding em negócio. Você descreve um app em um chat, e o Lovable escreve o código, configura um banco de dados e o login e coloca o resultado no ar. A empresa de Estocolmo foi lançada em novembro de 2024. Em agosto, captou 400 milhões de dólares com uma avaliação de 13,3 bilhões e, em setembro, seu cofundador Fabian Hedin disse que a receita anualizada havia passado de 600 milhões de dólares.

Desenvolver apps web e mobile é o nosso trabalho, então olhamos para o Lovable de dois lados: como uma ferramenta que gostamos de usar e como o ponto de partida para apps que depois precisam suportar clientes reais e os dados deles. Veja o que ele faz bem, onde deixa a desejar e quanto custa ficar nele.

O que ele faz bem

Para uma primeira versão, o Lovable impressiona de verdade. No nosso uso, uma frase vira um app funcionando, com telas, login, banco de dados e um link público em uma tarde, sem abrir um editor. Uma ideia pode ser testada com pessoas reais antes que alguém escreva uma especificação, e isso muda a forma como as ideias iniciais são testadas.

Muita gente quer exatamente isso. O Lovable diz que seus usuários criaram mais de 60 milhões de projetos desde o lançamento, que os apps construídos nele recebem mais de 900 milhões de visitas por mês e que funcionários de quase dois terços das empresas da Fortune 500 o usam. Em uma pesquisa com seus usuários, quase oito em cada dez disseram que estavam construindo um negócio ou um projeto paralelo com o qual esperam ganhar dinheiro.

O Lovable também investiu em segurança. Desde junho, uma verificação básica confere a configuração, o esquema do banco de dados e suas regras de acesso toda vez que um app é publicado, e os administradores podem bloquear a publicação enquanto houver problemas críticos. O Lovable é franco sobre o limite: a verificação básica não analisa o código da aplicação em busca de falhas de lógica.

Tudo se parece

Nossa principal ressalva é de gosto, e essa é a nossa visão a partir do uso, não uma medição. Os apps construídos com o Lovable tendem a ter a mesma cara: os mesmos layouts, os mesmos cards, os mesmos degradês suaves, um estilo que se torna reconhecível depois de alguns lançamentos. Para um protótipo, isso não importa. Para uma marca, importa, porque a primeira coisa que um cliente percebe é que ninguém decidiu que sensação o produto deveria passar.

Bons prompts, referências e um design system conseguem orientá-lo. Mas o padrão puxa para a média, e a maioria das pessoas fica com o padrão.

Quem responde pela segurança

A questão mais séria é a segurança. Em março de 2025, Matt Palmer, então na concorrente Replit, descobriu que um site construído com o Lovable expunha os dados dos usuários, porque as regras do banco de dados que decidem quem pode ler quais linhas estavam ausentes ou erradas. Ao analisar 1'645 projetos da vitrine do próprio Lovable, ele e outros pesquisadores encontraram 303 endpoints vulneráveis em 170 deles, expondo nomes, e-mails, dados de pagamento e chaves de API dos desenvolvedores. A falha foi registrada como CVE-2025-48757, com nota de gravidade de 9,3 em 10. O Lovable a contesta, argumentando que cada cliente é responsável por proteger os dados do próprio app.

Em abril de 2026, um pesquisador mostrou que qualquer conta do Lovable conseguia ler o código-fonte e o histórico de chat com a IA dos projetos públicos de outros usuários. O Lovable escreveu primeiro no X: “Para deixar claro: não sofremos um vazamento de dados.” Dois dias depois, publicou um relato mais completo: uma mudança em fevereiro havia reaberto um acesso que tinha sido fechado em 2025, relatos enviados ao seu programa de bug bounty haviam sido encerrados sem escalonamento, e tanto o produto quanto a primeira resposta tinham ficado aquém. O The Register chamou o episódio de “uma lição de como não responder a relatos de vulnerabilidade”.

O padrão vai além do Lovable. Em setembro, a empresa de segurança UpGuard encontrou cerca de 16'000 bancos de dados no Supabase, o serviço de banco de dados por trás dos apps do Lovable, com tabelas que qualquer pessoa podia ler, muitas delas com dados pessoais, e o TechCrunch associou essa onda a apps construídos às pressas com IA. O Supabase diz que seus projetos são seguros por padrão e que os clientes controlam a própria configuração. As duas coisas podem ser verdade. No meio costuma estar um fundador que nunca precisou aprender o que é uma regra de banco de dados.

Dependência e custo

O código em si pode sair. A documentação do Lovable diz que os apps, o código e o conteúdo que você cria são seus, todos os planos podem sincronizar com um repositório no GitHub e o frontend pode ser hospedado em qualquer lugar. O backend é outra história. Se um app roda no Lovable Cloud, os caminhos de saída suportados são o Supabase gerenciado ou auto-hospedado. Mover só o banco de dados não move o login, o armazenamento de arquivos, o tempo real nem as edge functions, e para PostgreSQL puro ou outro provedor o Lovable diz que não dá suporte à migração. O editor e seu agente não podem ser auto-hospedados de forma alguma.

O custo funciona com créditos. O Pro começa em 25 dólares por mês por 100 créditos e o Business em 50 dólares, e os dois escalam até 10'000 créditos; 1'200 créditos no Pro custam 294 dólares por mês. Enquanto um app fica no Lovable, sua hospedagem, seus recursos de IA e seus conectores consomem os mesmos créditos que a construção.

Uma primeira versão é barata. O que é difícil de prever, na nossa experiência, é o custo de cada mudança depois que um app cresceu. Cada prompt edita um código que ninguém do seu lado escreveu ou leu e, com dezenas de telas, papéis e fluxos de pagamento, uma correção em um lugar pode quebrar outro, e o conserto também é pago em créditos.

Nosso veredito

O Lovable é uma das formas mais rápidas de colocar uma ideia diante das pessoas, e é um prazer usá-lo. Use-o para protótipos, apresentações e ferramentas internas que não guardam dados sensíveis. Antes que cheguem clientes reais e os dados deles, conecte o GitHub desde o primeiro dia, peça a alguém que entenda de segurança para verificar cada regra do banco de dados e decida se o app deve continuar no Lovable Cloud.

É para esse próximo passo que serve o Werk. Desenvolvemos apps web e mobile com os nossos clientes na plataforma que construímos para os nossos próprios produtos, onde contas, papéis e pagamentos são feitos uma vez e testados, pessoas revisam cada versão e o código-fonte é seu. Um protótipo feito no Lovable é um ótimo briefing.