Aplikacje z AI · Bezpieczeństwo i hardening

Masz aplikację z AI.
Zadbamy o bezpieczny start

Audyt bezpieczeństwa, poprawki i hardening aplikacji zbudowanych w Lovable, Bolt, Cursorze czy v0. Zostawiamy to, co działa, a resztę przygotowujemy na prawdziwych użytkowników, dane i ruch.

Zamów audyt bezpieczeństwa Zobacz, co widzi atakujący

W branży od 2017 roku

Audyt bezpieczeństwa

twoja-aplikacja.pl

Przykład
  • KrytycznyNaprawionyKlucze API widoczne w przeglądarce
  • KrytycznyNaprawionyWyłączone reguły bazy: każdy odczyta tabelę użytkowników
  • WysokiNaprawionyPanel admina dostępny bez logowania
  • WysokiNaprawionyBrak limitu prób logowania i resetu hasła
  • ŚredniNaprawionyBrak kopii zapasowych i monitoringu błędów

Gotowość do produkcji

34%

Do naprawy: 5Gotowe na produkcję

Naprawiamy aplikacje zi z każdego narzędzia, które generuje prawdziwy kod

  • Lovable
  • Bolt
  • Cursor
  • v0
  • Replit
  • Claude Code
  • Windsurf
  • Supabase
  • Firebase

Twoja aplikacja wygląda dobrze. Zobacz, co widzą inni

Narzędzia AI świetnie radzą sobie z tym, co widać. Oto cztery problemy, które sprawdzamy w pierwszej kolejności, pokazane tak, jak zobaczy je każdy, kto zajrzy pod maskę Twojej aplikacji.

GET  /rest/v1/users?select=*   200 OK
auth: anon key · bez logowania

[
  { "email": "ania@…", "phone": "+48 …" },
  { "email": "olek@…", "phone": "+1 …" },
  { "email": "ewa@…",  "phone": "+44 …" },
  … i wszyscy pozostali użytkownicy
]

Każdy, kto zna adres aplikacji, pobierze e-maile i numery telefonów wszystkich użytkowników. Bez logowania.

main.4f2a91.js · trafia do każdego odwiedzającego

// AI dodało to, "żeby działało"
const OPENAI_KEY = "sk-proj-9xT…Qe";
const STRIPE_KEY = "sk_live_51N…Zt";
const DB_KEY     = "eyJhbG…service_role";

fetch("https://api.openai.com/…", {
  headers: { Authorization: `Bearer ${OPENAI_KEY}` }
});

Każdy może skopiować te klucze, nabić Ci rachunki za AI i płatności albo otworzyć całą bazę danych.

POST /auth/recover   200  ×      1
POST /auth/recover   200  ×    100
POST /auth/recover   200  × 10 000  bez limitu

GET  /api/feed        4,8 s  zapytanie na każdy post
GET  /api/feed        timeout

Koszt AI dziś: $1 940  wczoraj: $12

Jeden skrypt zasypie Twoje logowanie, a każdy nowy użytkownik spowalnia aplikację i podbija rachunek.

$ git log --oneline
a91f2c4  fix
7be0131  fix 2
3c4d9e8  błagam działaj
e2a7710  Revert "błagam działaj"
91bd0ff  działa?? nie ruszać
… i 1 400 kolejnych

$ npm test
Error: no test specified

Każda zmiana to loteria, więc nikt nic nie zmienia, nawet tam, gdzie poprawka jest naprawdę potrzebna.

Dlaczego TeaCode

AI buduje aplikację, którą widać. My sprawdzamy kod, którego nie widać

Sami korzystamy z AI na co dzień, więc wiemy, gdzie oszczędza tygodnie pracy, a gdzie po cichu pomija bezpieczeństwo. Każde znalezisko sprawdza inżynier, a nie skaner.

2017

od tego roku budujemy oprogramowanie produkcyjne

50+

inżynierów, projektantów i PM-ów

Tyle obszarów sprawdzamy. W jednym raporcie

Każde znalezisko mówi, co jest nie tak, co może się stać i jak to naprawić. Prostym językiem, uszeregowane według ryzyka i nakładu pracy.

  1. Konta i sesjeLogowanie, tokeny, reset hasła
  2. Dostęp i roleKto co widzi i co może zrobić
  3. Reguły bazy danychRow-level security, otwarte tabele
  4. Sekrety i klucze APICo trafia do przeglądarki i repozytorium
  5. API i dane wejścioweWalidacja, ataki typu injection, upload plików
  6. Płatności i webhookiStripe, podpisy, podwójne obciążenia
  7. ZależnościZnane podatności, porzucone paczki
  8. Dane osobowe i RODOCo przechowujesz, gdzie i jak długo
  9. Wydajność i kosztyWolne zapytania, rosnące rachunki za AI i chmurę
  10. Kod, testy i wdrożeniaCzy ktoś bezpiecznie zmieni go jutro

Jak to działa

Od prototypu z AI do produkcji.
W czterech krokach

Każdy krok wykonują inżynierowie. Każda poprawka trafia do Twojego repozytorium jako pull request, więc po wszystkim dalej budujesz ze swoimi narzędziami AI.

1

Około tygodnia

Audyt

Przeglądamy kod, reguły bazy danych, hosting i każde miejsce, w którym dane wchodzą do aplikacji lub z niej wychodzą.

2

Dni, nie miesiące

Pilne poprawki

Najpierw wyciekające klucze, otwarte dane i dziurawa kontrola dostępu. Każda poprawka przejrzana i przetestowana.

3

1–3 tygodnie

Hardening

Monitoring, kopie zapasowe, limity zapytań, CI/CD i testy procesów, na których zarabiasz.

4

Ty decydujesz

Co dalej

Twój zespół przejmuje aplikację z dokumentacją i uporządkowanym repozytorium albo zostajemy i rozwijamy ją razem z Tobą.

Krytyczny problem w trakcie audytu? Dowiesz się o nim tego samego dnia, razem z szybką poprawką, zanim raport będzie gotowy.

Nie przepisujemy na siłę

Większość aplikacji zbudowanych z AI nie musi zaczynać od nowa. Jeśli jakąś część lepiej przebudować, dowiesz się dlaczego, zanim za to zapłacisz.

  • ZostajeTo, co działa. Interfejs i ścieżki, które Twoi użytkownicy już lubią.
  • PoprawkaTo, co ryzykowne. Dostępy, reguły danych, klucze i obsługa błędów.
  • PrzebudowaTylko to, czego nie da się zabezpieczyć. Zawsze z uzasadnieniem.
twoja-aplikacja/po audycie
├─ src/
│ ├─ components/ZostajeInterfejs, który użytkownicy lubią
│ ├─ pages/ZostajeŚcieżki, które konwertują
│ └─ lib/supabase.tsPoprawkaTajny klucz przeniesiony na serwer
├─ api/
│ ├─ admin.tsPoprawkaKontrola roli na każdym endpoincie
│ ├─ checkout.tsZostajePłatności Stripe są w porządku
│ └─ webhooks.tsPrzebudowaBrak weryfikacji podpisu, nie da się tego bezpiecznie załatać
├─ supabase/policies.sqlPoprawkaRow-level security na każdej tabeli
└─ tests/NoweTesty logowania i płatności

Zanim wyślesz nam link

Masz inne pytanie? Zadaj je bezpośrednio inżynierowi.

Porozmawiaj z inżynierem
Z jakimi narzędziami pracujecie?

Lovable, Bolt, Cursor, v0, Replit, Claude Code i wszystko inne, co generuje prawdziwy kod. Większość takich aplikacji działa na React lub Next.js z Supabase albo Firebase, a z nimi pracujemy na co dzień.

Potrzebujecie dostępu do produkcji?

Na start nie. Do audytu wystarczy nam dostęp do odczytu repozytorium i konfiguracji bazy danych. Dostęp do produkcji przyda się później i tylko wtedy, gdy chcesz, żebyśmy sami wdrożyli poprawki.

Przepiszecie moją aplikację?

Tylko te części, których nie da się zabezpieczyć albo skalować, i dopiero gdy zobaczysz, dlaczego. Większość aplikacji zachowuje interfejs i większość kodu.

Ile trwa audyt?

Około tygodnia w przypadku typowego MVP. Większa aplikacja wymaga więcej czasu, a harmonogram poznasz przed startem.

Ile to kosztuje?

Audyt ma stałą cenę, którą ustalamy po krótkiej rozmowie, gdy znamy wielkość aplikacji. Poprawki i hardening wyceniamy na podstawie raportu, więc sam decydujesz, co zrobić teraz, a co może poczekać.

Czy po wszystkim mogę dalej budować z AI?

Tak. Każda poprawka trafia do Twojego repozytorium jako pull request, więc dalej pracujesz w Lovable czy Cursorze, tylko na bezpieczniejszych fundamentach. Powiemy Ci też, które obszary lepiej zostawić inżynierom.

Czy mój kod jest u was bezpieczny?

Podpisujemy NDA, zanim cokolwiek zobaczymy, korzystamy tylko z dostępów, które nam dasz, i usuwamy je po zakończeniu pracy.

Porozmawiajmy

Jaki problem chcesz rozwiązać?

Pierwszą rozmowę poprowadzi jeden z naszych założycieli: Michał albo Jakub. Obaj są inżynierami, nie handlowcami. Zapytają o problem, wskażą, co wygląda ryzykownie, i powiedzą wprost, czy jesteśmy dla Ciebie odpowiednim partnerem.

Jakub Drynkowski
Współzałożyciel i CEO
Michał Pierzchlewicz
Współzałożyciel i CTO

Zero sprzedażowej gadki. Bezpłatnie skonsultuj swój problem z inżynierami, którzy na co dzień pracują przy projektach klientów.

Umów spotkanie

Thank you! Your submission has been received!
Oops! Something went wrong while submitting the form.

Administratorem Twoich danych osobowych jest TeaCode z siedzibą w Warszawie. Przetwarzamy je, aby odpowiedzieć na Twoją wiadomość. W każdej chwili możesz uzyskać dostęp do swoich danych, sprostować je lub zażądać ich usunięcia. Szczegóły znajdziesz w Polityce Prywatności.

Jakub Drynkowski
Co-founder & CEO
Michał Pierzchlewicz
Co-founder & CTO

No sales pitch. A free consultation with engineers who still work on client projects.