Lovable i test
Appbyggaren bakom vibe coding-boomen är snabb och rolig. Vad den gör bra, varför apparna ofta liknar varandra och var säkerhet och inlåsning skaver.
Lovable är appbyggaren som gjorde vibe coding till en affär. Du beskriver en app i en chatt, och Lovable skriver koden, sätter upp en databas och inloggning och publicerar resultatet på nätet. Stockholmsbolaget lanserades i november 2024. I augusti tog det in 400 miljoner dollar till en värdering på 13,3 miljarder, och i september sa medgrundaren Fabian Hedin att intäkterna i årstakt hade passerat 600 miljoner dollar.
Vi lever på att bygga webb- och mobilappar, så vi ser på Lovable från två håll: som ett verktyg vi tycker om att använda, och som utgångspunkt för appar som senare ska bära riktiga kunder och deras data. Här är vad den gör bra, var den brister och vad det kostar att stanna kvar.
Vad den gör bra
För en första version är Lovable verkligt imponerande. När vi har använt den har en enda mening blivit en fungerande app med skärmar, inloggning, databas och en publik länk på en eftermiddag, utan att någon öppnat en editor. En idé kan prövas på riktiga människor innan någon har skrivit en specifikation, och det ändrar hur tidiga idéer testas.
Många vill ha just det. Lovable uppger att användarna har skapat mer än 60 miljoner projekt sedan lanseringen, att appar byggda på plattformen får mer än 900 miljoner besök i månaden och att anställda på nästan två tredjedelar av Fortune 500-företagen använder den. I en enkät bland användarna svarade nästan åtta av tio att de bygger ett företag eller ett sidoprojekt som de hoppas tjäna pengar på.
Lovable har också investerat i säkerhet. Sedan juni kontrollerar en grundläggande skanning konfigurationen, databasschemat och dess åtkomstregler varje gång en app publiceras, och administratörer kan stoppa publiceringen så länge kritiska problem kvarstår. Lovable säger öppet var gränsen går: den grundläggande skanningen analyserar inte applikationskoden efter logiska fel.
Allt ser likadant ut
Vår största invändning gäller smak, och det här är vår bild efter att ha använt verktyget, inte en mätning. Appar byggda med Lovable tenderar att se likadana ut: samma layouter, samma kort, samma mjuka gradienter, en stil som blir igenkännbar efter några lanseringar. För en prototyp spelar det ingen roll. För ett varumärke gör det det, eftersom det första en kund märker är att ingen har bestämt hur produkten ska kännas.
Bra prompter, referenser och ett designsystem kan styra resultatet. Men standardvalet drar mot genomsnittet, och de flesta nöjer sig med standardvalet.
Vem som svarar för säkerheten
Den allvarligare frågan är säkerheten. I mars 2025 upptäckte Matt Palmer, då på konkurrenten Replit, att en sajt byggd med Lovable exponerade användarnas data, eftersom de databasregler som avgör vem som får läsa vilka rader saknades eller var felaktiga. När han och hans forskarkollegor skannade 1'645 projekt ur Lovables eget projektgalleri hittade de 303 sårbara endpoints i 170 av dem, som exponerade namn, e-postadresser, betalningsuppgifter och utvecklares API-nycklar. Bristen registrerades som CVE-2025-48757, med ett allvarlighetsvärde på 9,3 av 10. Lovable bestrider den, med motiveringen att varje kund själv ansvarar för att skydda datan i sin app.
I april 2026 visade en forskare att vilket Lovable-konto som helst kunde läsa källkoden och AI-chatthistoriken i andra användares publika projekt. Lovable skrev först på X: ”För att vara tydliga: vi har inte drabbats av något dataintrång.” Två dagar senare publicerade bolaget en utförligare redogörelse: en ändring i februari hade återöppnat en åtkomst som bolaget stängt 2025, rapporter till bolagets bug bounty-program hade stängts utan att eskaleras, och både produkten och det första svaret hade brustit. The Register kallade händelsen ”en läxa i hur man inte ska bemöta sårbarhetsrapporter”.
Mönstret sträcker sig bortom Lovable. I september hittade säkerhetsföretaget UpGuard omkring 16'000 databaser på Supabase, databastjänsten bakom Lovables appar, med tabeller som vem som helst kunde läsa, många av dem med personuppgifter, och TechCrunch kopplade vågen till appar som byggts snabbt med AI. Supabase säger att projekten är säkra som standard och att kunderna själva styr sin konfiguration. Båda sakerna kan stämma. Mitt emellan står ofta en grundare som aldrig har behövt lära sig vad en databasregel är.
Inlåsning och kostnad
Själva koden kan du ta med dig. Enligt Lovables dokumentation är apparna, koden och innehållet du skapar dina, alla abonnemang kan synka till ett GitHub-repositorium, och frontenden kan hostas var som helst. Backenden är en annan sak. Om en app körs på Lovable Cloud är de vägar ut som stöds Supabase, som hanterad tjänst eller egenhostad. Att flytta enbart databasen flyttar inte med inloggning, fillagring, realtidsfunktioner eller edge functions, och för en flytt till vanlig PostgreSQL eller en annan leverantör säger Lovable att den inte stöds. Editorn och dess agent går inte alls att köra på egna servrar.
Kostnaden styrs av krediter. Pro börjar på 25 dollar i månaden för 100 krediter och Business på 50 dollar, och båda kan skalas upp till 10'000 krediter; 1'200 krediter på Pro kostar 294 dollar i månaden. Så länge en app ligger kvar på Lovable drar dess hosting, dess AI-funktioner och dess kopplingar från samma krediter som byggandet.
En första version är billig. Det som är svårt att förutse, enligt vår erfarenhet, är kostnaden för varje ändring när appen väl har vuxit. Varje prompt ändrar kod som ingen på din sida har skrivit eller läst, och med dussintals skärmar, roller och betalflöden kan en rättning på ett ställe ha sönder något på ett annat, och även lagningen betalas i krediter.
Vårt omdöme
Lovable är ett av de snabbaste sätten att visa en idé för människor, och verktyget är ett nöje att använda. Använd det för prototyper, för pitchar och för interna verktyg som inte rymmer känsliga data. Innan riktiga kunder och deras data kommer in: koppla GitHub från första dagen, låt någon som kan säkerhet granska varje databasregel och bestäm om appen ska ligga kvar på Lovable Cloud.
Just det steget är vad Werk är till för. Vi bygger webb- och mobilappar tillsammans med våra kunder på den plattform vi byggde för våra egna produkter, där konton, roller och betalningar är byggda en gång och testade, människor granskar varje release och källkoden är din. En prototyp från Lovable blir en bra brief.
