Secretos expuestosClaves, tokens y .env commiteados accesibles desde el navegador o el repo.
Sin autenticaciónEndpoints que devuelven datos sin verificar quién pregunta.
RLS de Supabase abiertoTablas que cualquiera puede leer o escribir porque Row Level Security está apagado.
Secretos en el clienteClaves service-role y lógica de admin enviadas al navegador.
Sin rate limitingLogin, signup y pagos abiertos a brute force y abuso.
Headers de seguridadFaltan CSP, HSTS y X-Frame-Options; CORS mal configurado.
SEO y metadataFaltan títulos, descripciones, robots y sitemap.
Listo para IA (AEO)Si los motores de IA pueden leer y citar tu app (llms.txt, estructura).