Każdy punkt kończy się jedną z czterech odpowiedzi: w porządku, znalezisko, nie dotyczy albo nie sprawdzone — i wtedy piszę dlaczego.
Gdzie leżą dane, kto się do nich dostanie i co się stanie, gdy znikną.
Serwer, konta u dostawców, wdrożenia, zadania w tle, domena i poczta.
Klucze i hasła: gdzie są, kto je widzi, co widzi agent AI.
Czy wdrożenie da się powtórzyć i cofnąć — i czy ktoś to sprawdza przed wysłaniem na produkcję.
Kto może wejść, gdzie i w czyje dane — sprawdzane po stronie serwera, nie w przeglądarce.
Jeśli aplikacja używa modeli językowych — osobny zestaw ryzyk, którego nie łapie żaden klasyczny skaner.
Wszystko, co przychodzi z zewnątrz: formularze, pliki, adresy, płatności, nagłówki.
Obserwacje techniczne, nie porada prawna.
Każdy punkt jest zmapowany na OWASP Top 10:2025 i ASVS 5.0, a obszar AI — na OWASP Top 10 for LLM Applications. Checklista jest stała: ta sama lista w audycie aplikacji z Lovable i w audycie aplikacji na własnym VPS, tylko część punktów wtedy nie dotyczy.