Skaner w narzędziu
wbudowany w narzędzie, w którym budujesz
- Co sprawdza
- Ustawienia i znane wzorce. Nie zna logiki Twojej aplikacji.
- Kto ocenia
- Automat.
- Co dostajesz
- Listę alertów.
- Cena
- W abonamencie narzędzia.
Sprawdzę, czy ktoś nie wyczyści Ci bazy i nie przepali budżetu na API.
Do tego: czy nie wyciekną dane Twoich klientów i czy nie da się obejść płatności. Audyt aplikacji zbudowanej z AI, zanim wpuścisz do niej ludzi.
Zadzwoń: +48 515 558 789
albo
Oddzwaniam w ciągu 24 godzin w dni robocze. Rozmowa do niczego nie zobowiązuje.
Zobacz przykładowy raport
Wolisz napisać? Zgłoś aplikację
Dla kogo jest audyt
Dla małych firm i founderów, którzy zbudowali działający produkt metodą vibe coding — i zaczynają mu powierzać prawdziwych użytkowników, płatności albo dane.
Produkt dla klientów
SaaS albo aplikacja, która ma już użytkowników lub płatności.
Narzędzie wewnętrzne
Panel, CRM albo automatyzacja zbudowana w firmie, z dostępem do danych pracowników i klientów.
57%
aplikacji na Supabase (2096 z 3680 przeskanowanych) pozwalało czytać dane z tabel bez logowania
VibeEval, sierpień 202698%
z 1072 przeskanowanych aplikacji vibe-coded miało co najmniej jedną wadę bezpieczeństwa, 16% — krytyczną
SymbioticSec170 z 1645
aplikacji zbudowanych w Lovable wyciekało dane użytkowników (CVE-2025-48757)
VibeAppScannerKażda siatka to sto przeskanowanych aplikacji; wypełnione pola — te z problemem. Liczby pochodzą ze skanów prowadzonych przez dostawców narzędzi bezpieczeństwa, więc to rząd wielkości, nie dowód. Twoją aplikację oceniam po tym, co w niej faktycznie znajdę.
Skaner, software house czy ja?
Trzy drogi sprawdzenia aplikacji zbudowanej z AI. Pokazuję, czym moja się różni.
Software house
- Co sprawdza
- Zwykle całość, zakres i cena po analizie.
- Kto ocenia
- Zespół, zmienne stawki.
- Co dostajesz
- Ofertę dalszych prac.
- Cena
- Wycena indywidualna.
Ja — Paweł Maj
VibeAudit
- Co sprawdza
- 86 punktów — od tego, co widać z internetu, po bazę, klucze i logikę dostępu.
- Kto ocenia
- Senior z 15-letnim stażem. Każde znalezisko sprawdzam w kodzie.
- Co dostajesz
- Raport po polsku z promptami do naprawy i jeden retest w cenie.
- Cena
- Od 999 zł netto, znana przed startem.
Skaner sprawdza ustawienia. Ja sprawdzam też to, czego on nie widzi: czy zalogowany użytkownik nie zobaczy cudzych danych, czy da się ominąć płatność i czy ktoś nie przepali Ci budżetu na API.
86 punktów w 8 obszarach
Ta sama lista w każdym audycie — nic nie wypada przez przypadek.
- Baza danych i pliki13
- Infrastruktura i hosting19
- Env i sekrety10
- Repo, CI/CD, standardy11
- Logowanie, rejestracja, autoryzacja15
- AI w aplikacji6
- Wejście aplikacji i konfiguracja10
- RODO — minimum2
Jak to działa
Nic nie dzieje się automatycznie — żaden skan nie rusza bez podpisanej zgody.
Zgłaszasz aplikację
Krótki formularz albo telefon. Oddzwaniam i umawiamy rozmowę.
Ustalamy zakres i cenę
Rozmawiamy o aplikacji, podaję jedną kwotę. Potem zgoda, NDA i dostępy.
Sprawdzam aplikację
Skany i przegląd ręczny punkt po punkcie: kod, serwer, baza. Bez logowania do aplikacji.
Dostajesz raport
Raport, rozmowa o nim i jeden retest po naprawach — w cenie.
Co dostajesz
Jeden dokument w HTML — otwierasz go w przeglądarce. Po polsku, bez żargonu, z konkretem przy każdym punkcie.
Podsumowanie
Co znalazłem i od czego zacząć — bez żargonu.
Lista znalezisk
Każde z ważnością, miejscem w kodzie i skutkiem.
Naprawa
Gotowy prompt albo fragment kodu do wklejenia.
Znalezisko 3 z 11krytyczne
Panel administratora bez sprawdzenia logowania
- Gdzie
- app/admin/page.tsx:14
- Ryzyko
- Kto trafi na adres panelu, widzi dane klientów i może zmieniać zamówienia.
- Naprawa
- Sprawdzenie roli po stronie serwera — z gotowym promptem do wklejenia.
Jedna cena, ustalona przed startem
Jedna cena od 999 zł netto, bez progów. Znasz ją przed startem i nie zmienia się w trakcie audytu.
od999zł
netto
Wycena indywidualna przy więcej niż jednej aplikacji lub repozytorium, więcej niż jednym serwerze albo powyżej ok. 100 endpointów API (adresów, pod które aplikacja przyjmuje żądania). Powiem o tym przed przedpłatą.
- Przegląd wszystkich 86 punktów, punkt po punkcie
- Raport w HTML, po polsku, z promptami do naprawy
- Rozmowa 30 min o raporcie, do 7 dni roboczych od kompletu materiałów
- Jeden retest w ciągu 30 dni
- Przykładowy pipeline CI/CD pod Twój stack
Co dalej
Audyt to początek. Dalej możesz pójść na trzy sposoby.
Naprawiasz sam
Przy każdym znalezisku jest gotowy prompt do Lovable, Cursora czy Claude Code. Retest masz w cenie.
Naprawiam ja
Osobne zlecenie, wyceniane po audycie — dopiero wtedy wiadomo, ile pracy jest w środku.
Idziemy dalej
Wdrożenie pipeline’u, przeniesienie aplikacji na własny serwer, stała opieka. Rozmawiamy, jeśli będzie potrzeba.
Zewnętrznych usług (Stripe, Supabase, Vercel) nie audytuję — sprawdzam Twój kod, który z nich korzysta.
Kto to sprawdza
Paweł Maj, senior developer od 15 lat. Projektuję backendy, wdrażam aplikacje na serwery i sprzątam po wdrożeniach, które poszły za szybko.
Nie sprzedaję wyniku skanera. Skany robię, bo są szybkie, ale każde znalezisko sprawdzam w kodzie, zanim trafi do raportu. Płacisz za ocenę: co z tego naprawdę Cię dotyczy, co jest groźne dzisiaj, a co może poczekać.
- PHP / Symfony
- Next.js / React
- TypeScript
- PostgreSQL
- Docker
- AWS, Kubernetes
- VPS i nginx
Checklistę opieram na OWASP Top 10:2025 i ASVS 5.0, a obszar AI — na OWASP Top 10 for LLM Applications.
Zgłoś aplikację
Pytam tylko o to, co na pewno wiesz. Resztę ustalę sam, kiedy dostanę dostęp do kodu.