Segredos expostosChaves, tokens e .env commitados acessíveis pelo navegador ou repo.
Sem autenticaçãoEndpoints que retornam dados sem verificar quem pergunta.
RLS do Supabase abertoTabelas que qualquer um lê ou escreve porque o Row Level Security está desligado.
Segredos no clienteChaves service-role e lógica de admin enviadas ao navegador.
Sem rate limitingLogin, signup e pagamentos abertos a brute force e abuso.
Headers de segurançaFaltam CSP, HSTS e X-Frame-Options; CORS mal configurado.
SEO e metadataFaltam títulos, descrições, robots e sitemap.
Pronto para IA (AEO)Se os motores de IA conseguem ler e citar seu app (llms.txt, estrutura).