Než pustíte aplikaci z AI kolegům: kontrolní seznam

Než kolegové začnou používat aplikaci z Lovable, Cursoru, Claude Code nebo Replitu, ověřte, kdo se do ní dostane, kde jsou data a klíče, jak jdou změny do provozu, co když se pokazí a kdo se o ni postará. 24 kontrol, u každé návod, jak ji ověřit sami.

Pro toho, kdo aplikaci postavil, i pro IT, které ji má schválit. Kontroly si odškrtejte přímo tady, nebo seznam vytiskněte.

Aktualizováno 22. 10. 2026

Na kontrolní seznam ↓ Ukažte nám svou aplikaci →
45 %

testovaných úloh, ve kterých AI modely napsaly kód se zranitelností z OWASP Top 10.

Veracode, 2025 ↗
170 z 1 645

aplikací z Lovable pouštělo data z databáze komukoli bez přihlášení, protože chyběla pravidla RLS (CVE-2025-48757).

Matt Palmer, 2025 ↗
~380 000

veřejně dostupných aplikací z Lovable, Replitu, Base44 a Netlify našla firma RedAccess, asi 5 000 z nich s citlivými daty.

Security Boulevard, 2026 ↗
01

Kdo se do aplikace dostane?

Aplikace, kterou otevře kdokoli s odkazem, do firmy nepatří, ať je jinak jakkoli dobrá.

  1. 01

    Před spuštěním vždy

    Otevřete ji i stránky jako /admin v anonymním okně mimo firemní Wi-Fi. Co uvidíte vy, uvidí kdokoli s odkazem.

  2. 02

    Vlastní doména nemusí vypnout *.lovable.app, *.replit.app, *.vercel.app nebo *.netlify.app. Zkuste i tuhle adresu.

  3. 03

    Před spuštěním vždy

    Zkuste se zaregistrovat soukromým e-mailem: když to jde, je aplikace ve skutečnosti veřejná. S firemním účtem Google nebo Microsoft skončí přístup se zrušením účtu.

  4. 04

    Dostane se dovnitř člověk, který odešel nebo změnil pozici? U vlastních hesel aplikace se přístup odebírá ručně a na to se zapomíná.

  5. 05

    Před spuštěním vždy

    Přihlaste se s nejnižší rolí, změňte v adrese ID záznamu a zkuste administraci. Oprávnění musí hlídat server, skryté tlačítko nikoho nezastaví.

02

Kde leží data a kdo se k nim dostane?

Obvykle tam, kde to bylo při stavbě nejrychlejší: na účtu toho, kdo aplikaci postavil.

  1. 06

    Před spuštěním vždy

    Supabase, Lovable Cloud, Firebase, Google Sheets: čí účet, čí karta? Data na soukromém účtu autora odejdou s ním.

  2. 07

    Před spuštěním vždy

    Aplikace na Supabase čte databázi přímo z prohlížeče a co kdo uvidí, hlídají jen pravidla RLS. Ověřte, že je má každá tabulka, pomůže Security Advisor.

  3. 08

    Jména, mzdy, smlouvy, rodná čísla, zdravotní údaje? Podle toho musí být zavřená a s osobními údaji pro ni platí GDPR.

  4. 09

    Projděte AI, e-mail, analytiku a platby v .env.example. Firemní data mají téct jen do služeb, se kterými má smlouvu firma.

  5. 10

    Jak často se zálohuje, jak dlouho se zálohy drží a obnovoval z nich už někdo? Záloha, ze které nikdo neobnovoval, je jen předpoklad.

03

Kde jsou klíče a hesla?

Nejčastější zkratka u aplikací z AI je nechat klíče v kódu.

  1. 11

    Před spuštěním vždy

    Hledejte v historii repozitáře service_role, sk_, api_key nebo soubor .env, nebo to nechte na gitleaks. Klíč, který se tam kdy dostal, berte jako prozrazený a vyměňte ho.

  2. 12

    Před spuštěním vždy

    Stiskněte F12 a v záložkách Network a Sources hledejte klíče k platbám nebo AI. Patří tam jen veřejné, třeba anon klíč Supabase.

  3. 13

    Kdyby se klíč musel vyměnit dnes večer, zvládne to někdo bez autora?

04

Jak se změna dostane do provozu?

S AI vznikne nová verze za pár minut. Co se s ní děje, než ji uvidí kolegové?

  1. 14

    Před spuštěním vždy

    Je na GitHubu nebo GitLabu vaší firmy a mají k němu přístup aspoň dva lidé? Bez kódu se aplikace nedá opravit ani předat.

  2. 15

    Může změna jít ven, aniž by ji viděl druhý člověk? V Lovable publikuje rovnou z chatu každý editor.

  3. 16

    Existuje testovací verze s vlastní databází? Když AI upravuje jednu věc, občas změní i jinou.

  4. 17

    Dohledejte poslední tři nasazení: kdy, co a kdo. Když se něco rozbije, první otázka je, co se změnilo.

05

Co když se něco pokazí?

Každá aplikace jednou spadne. Rozdíl je v tom, jestli se to dozvíte vy, nebo vaši zákazníci.

  1. 18

    Kdo by si všiml, že v sobotu nejede? Bez sběru chyb se to dozvíte od uživatelů a ti se potichu vrátí k Excelu.

  2. 19

    Při úniku dat to budete potřebovat jako první a zpětně se to doplnit nedá.

  3. 20

    Sepište, kdo rozhoduje o hlášení. Únik osobních údajů se zpravidla hlásí ÚOOÚ do 72 hodin; podle zákona o kybernetické bezpečnosti incident s významným dopadem do 24.

06

Kdo se o aplikaci bude starat?

„Zásadní otázka tedy je, kdo ponese za výsledný slepenec 90/10 zodpovědnost,“ napsal čtenář Lupy.

  1. 21

    Před spuštěním vždy

    Dvě jména: kdo rozhoduje, co dělá, a kdo odpovídá za technickou stránku. Autor s pár volnými hodinami týdně je riziko, ne vlastník.

  2. 22

    Zvládl by kolega bez něj najít kód, nasadit malou změnu, vyměnit klíč a obnovit data?

  3. 23

    Nástroj, hosting, databáze, doména, AI, e-mail: na soukromé kartě autora aplikace skončí s první nezaplacenou fakturou.

  4. 24

    Spusťte npm audit nebo to nechte hlídat Dependabot. Chyby se objevují i v kódu, na který měsíce nikdo nesáhl.

Co z toho drží Fabrika sama a co zajišťujeme my?

Fabrika je platforma, na které si firma staví vlastní aplikace, a náš tým za ní. Co drží platforma, platí pro každou aplikaci, ať ji napsal kdokoli:

Přístup 01–02 Drží platforma Žádná veřejná adresa. Jediný vchod pustí jen ověřené uživatele; bez pravidel přístupu zůstane zavřeno. Zajišťujeme my Nastavíme ji ve vašem cloudovém účtu. Zůstává na vás Nic navíc.
Přihlášení a odchody 03–04 Drží platforma Jedno firemní přihlášení do všech aplikací přes vašeho poskytovatele identity (třeba Microsoft Entra ID, Google Workspace, Okta). Lidé zvenku heslem. Zajišťujeme my Napojíme vašeho poskytovatele identity. Zůstává na vás Firemní účty a jejich rušení včetně nastavení vícefázového ověření.
Role 05 Drží platforma Role pro každou aplikaci na jednom místě. Nová verze je nepřepíše. Zajišťujeme my Při kontrole hlídáme, že aplikace podle rolí opravdu omezuje, co kdo vidí. Zůstává na vás Kdo dostane jakou roli.
Data 06–09 Drží platforma V cloudovém účtu na vaši firmu, obvykle na Zerops, na přání v AWS. Zajišťujeme my U aplikací na Supabase rozhodneme s vámi: přejít jinam, provozovat Supabase u vás, nebo nechat. Na vašich datech netrénujeme. Zůstává na vás Jaká data do aplikace patří. AI jde přes váš vlastní tarif.
Zálohy 10 Drží platforma Platforma sama nezálohuje. Zajišťujeme my Zálohy a obnovu s vámi nastavíme. Zůstává na vás Co, jak často a jak rychle musí být data zpátky.
Klíče a hesla 11–13 Drží platforma Drží je cloudový poskytovatel, ne kód. Každá aplikace vidí jen svoje; zapsat jdou, přečíst zpátky nikdy. Zajišťujeme my Při převzetí hledáme klíče v kódu i repozitáři. Zůstává na vás Nic navíc.
Změny 14–17 Drží platforma Nasazení z Gitu se záznamem o každém. Oddělené testovací a produkční prostředí. Nasazení, které někomu přidá přístup, čeká na schválení člověkem. Zajišťujeme my Každou změnu kontrolujeme, než jde do produkce, a píšeme, co se změnilo a co jsme kontrolovali. Zůstává na vás Repozitář ve vaší firmě. Která změna jde ven a kdy.
Chyby a incidenty 18–20 Drží platforma Chyby ze všech aplikací na jednom místě, hlídání dostupnosti a upozornění. Přihlášení a změny přístupů se zapisují. Zajišťujeme my Pomůžeme zjistit, co se stalo, opravit to a připravit podklady k hlášení. Zůstává na vás Podání hlášení, pokud ho musíte podat.
Údržba 21–24 Drží platforma Kód, data i domény zůstávají vaše a platforma je open source. Běží dál i bez nás. Zajišťujeme my Provoz, kontrola změn, záplaty platformy, podpora toho, kdo staví. Zůstává na vás Vlastník aplikace. Servery, které platíte poskytovateli cloudu podle spotřeby.

Za co neručíme

Za to, co člověk udělá s daty, ke kterým má oprávnění. Když si je zaměstnanec vyexportuje a odnese, platforma mu nezabrání.

Víc pro IT na stránce Bezpečnost →

Kdy aplikace do firemního provozu nepatří vůbec?

  • Nikdo za ni nechce odpovídat. Když kontrola 21 skončí bez jména, vypněte ji.
  • Nahrazuje účetnictví, mzdy nebo jiný systém se zákonnou evidencí. Tam je hotový software skoro vždy lepší.
  • Totéž umí hotový nástroj. Koupit ho bývá levnější.
  • Nejde z ní dostat kód, jako u Bubble, takže skončí s nástrojem. Na okrajovou pomůcku to stačí, na klíčový proces ne.
  • Používá ji jeden člověk a nic důležitého na ní nestojí. Jen nesmí být veřejná ani obsahovat citlivá data.

Kdy Fabrika není pro vás?

  • Veřejná služba pro tisíce zákazníků s platbami a registrací pro kohokoli. Fabrika je na aplikace pro vaše lidi a pár lidí zvenku.
  • Vaše IT vyžaduje Azure, vlastní servery nebo přihlášení jen přes SAML. Aplikace Fabriky běží na Zerops, na přání v AWS, a firemní účty napojuje přes OIDC.
  • Aplikace je naklikaná v Bubble nebo podobném nástroji bez exportu kódu. Převzít ji neumíme, jen postavit znovu.
  • Nechcete mít aplikaci v Gitu. Ve Fabrice jde každá změna přes repozitář.
  • Chcete kód zkontrolovat jednou a provozovat si aplikaci sami. Levnější je jednorázový audit, platí ale jen pro verzi, kterou auditor viděl.

Na co se u seznamu ptáte

Je bezpečné nasadit do provozu kód, který napsala AI?

Může být, ale samo od sebe to neplatí. Přihlášení, oprávnění a klíče by neměly stát na kódu z AI, ale na platformě, na které aplikace běží, a změny by před nasazením měl někdo přečíst.

Nerozumím programování. Zvládnu tu kontrolu sám?

Většinu ano. Kontroly v kódu (klíče v repozitáři, pravidla RLS, oprávnění na serveru) chtějí vývojáře, seznam mu klidně pošlete.

Kolik kontrol musí projít, než aplikaci pustíme kolegům?

Devět označených „Před spuštěním vždy“. Zbytek můžete dotáhnout za pochodu, jen byste měli vědět, co chybí.

Aplikace nám běží na veřejné adrese nástroje. Je to problém?

Když se otevře bez přihlášení, tak ano (kontroly 01 a 02). Ve Fabrice aplikace veřejnou adresu nemá vůbec. Jak to vypadá u aplikací z Lovable.

Souvisí to se zákonem o kybernetické bezpečnosti (NIS2)?

Pokud pod zákon č. 264/2025 Sb. spadáte, musíte i v nižším režimu stanovit bezpečnostní požadavky pro vývoj a údržbu a mít ve smlouvách s dodavateli mimo jiné řízení změn, exit strategii a pravidla bezpečného vývoje (vyhláška 410/2025 Sb., § 3 a příloha č. 2). Aplikace, které si lidé staví, jsou vývoj. Seznam pomůže, právní posouzení ale nenahradí; víc na stránce Pro vedení.

Kdo se o aplikaci postará, až autor odejde?

Ten, koho určíte v kontrole 21. Když to nemá kdo být, je to přesně naše práce ve Fabrice: kód zůstává v repozitáři vaší firmy, provoz a kontrolu změn držíme my a pokračovat může kolega, vývojář, nebo my. Co zajistit, než autor odejde.

Mám seznam poslat našemu IT?

Ano, je psaný i pro ně. Pošlete odkaz, nebo ho vytiskněte; zaškrtnutí zůstává ve vašem prohlížeči, takže se jim otevře prázdný. Na další otázky IT odpovídá stránka Bezpečnost.

Ukažte nám svou aplikaci.

Stačí půl hodiny a odkaz na aplikaci nebo repozitář. Projdeme seznam spolu a řekneme, co by obnášelo převzetí do Fabriky, nebo že to nedává smysl.

Domluvit 30min hovor →