Je hebt met Lovable, Cursor of Bolt iets moois gebouwd en het werkt. Maar 'het werkt' zegt niets over 'het is veilig'. Zo check je dat zonder technische kennis.
Waarom werkend en veilig twee verschillende dingen zijn
Een app die er goed uitziet en doet wat je vraagt, kan achter de schermen wagenwijd openstaan. Dat is geen verwijt aan de AI-tool: die maakt vooral iets dat werkt, en beveiliging is onzichtbaar — je ziet pas dat hij ontbreekt als het mis is gegaan.
Vergelijk het met een huis: alles functioneert als de deuren niet op slot zitten. Je merkt het pas als er iets weg is.
Bekijk wat AI-code openlaat om de terugkerende risico’s te herkennen.
Drie vragen die je nu al kunt stellen
Op die eerste twee vragen is het antwoord zelf te testen: maak twee proefaccounts aan en probeer als de ene gebruiker bij de gegevens van de andere te komen. Lukt dat, dan is er werk aan de winkel.
- Kan een bezoeker die niet is ingelogd bij gegevens die niet voor hem bedoeld zijn?
- Kan een ingelogde gebruiker de gegevens van een andere gebruiker zien of aanpassen?
- Staat er ergens in je project een sleutel die iemand anders kan meenemen en misbruiken?
Signalen dat het waarschijnlijk niet goed zit
- De AI-assistent heeft ergens 'voor nu even uitzetten' of 'tijdelijk alles toestaan' gezet.
- Je hebt nooit met meer dan één account getest.
- Iedereen die de link heeft kan meteen alles zien, zonder inloggen.
- Je weet niet welke gegevens je app precies bewaart.
De OWASP top 10 helpt deze signalen in context te plaatsen.
Wat je kunt doen zonder te kunnen programmeren
Vraag je AI-assistent expliciet om beveiliging in plaats van alleen om nieuwe functies. En laat het resultaat controleren door iets dat niet dezelfde tool is die het gebouwd heeft — dezelfde assistent die een fout maakte, ziet hem zelf vaak niet.
Dat kan een automatische scan zijn, of iemand die er naar kijkt. Belangrijk is dat er een tweede paar ogen naar komt voordat echte gebruikers erin zitten.
Gebruik daarnaast de checklist voor livegang vóór je eerste echte gebruikers.
Veelgestelde vragen
Zijn apps van Lovable of Bolt onveilig?
Niet per se. De tools zijn prima; het gaat om hoe jouw specifieke project is ingericht. Dat verschilt per project en moet je dus per project controleren.
Kan ik zelf testen of mijn app veilig is?
Deels: de test met twee accounts kan iedereen doen. Voor het diepere werk — rechten in de database, sleutels in de code — is een automatische controle betrouwbaarder.
Hoe vaak moet ik dit controleren?
Na elke grotere wijziging. Elke nieuwe functie kan onbedoeld iets openzetten dat daarvoor dicht zat.