У каждого приложения на Lovable появилась страница безопасности: 10 проверок, которые не подделать из кода

Продаёшь приложение клиенту - теперь вместо долгих объяснений можно кинуть ссылку. Lovable завела каждому публично опубликованному приложению страницу с проверками безопасности по фиксированному адресу вида yourapp.lovable.app/.well-known/trust.html. Включать ничего не нужно, страница собирается сама: на демо-приложении 10 проверок со статусом Checked и отметкой о проверке 10 августа, 10:02 UTC.

Раньше и теперь. Раньше на вопрос клиента «а у вас там безопасно?» основатель отвечал письмом на два экрана и скриншотами настроек. Теперь Lovable отдаёт готовую страницу, и само приложение переписать или перестилизовать её не может: страницу целиком генерит платформа.

Что внутри. Три блока: соединение и браузерная защита, зависимости и деплой, контроль доступа. Конкретика там такая - HTTPS и CSP, скан зависимостей по базе Google OSV, SBOM в формате CycloneDX, привязка деплоя к ревизии, ревью авторизации БД и статус RLS. Рядом лежит машиночитаемая версия по адресу /.well-known/trust.json, где те же 10 проверок привязаны к хешу деплоя, а данные живут 24 часа и после этого считаются протухшими.

Страница пока появляется только у свежеопубликованных проектов, старые Lovable обещает подключить позже. Базовые сканы идут всем тарифам: линт RLS-политик, ревью схемы БД, аудит зависимостей. Сканы по расписанию доступны только на Enterprise, а security-центр на весь воркспейс - планам Business и Enterprise. Сама Lovable называет это platform-generated evidence, а не сертификацией и не независимым аудитом.

Lovable обещает добавить на страницу backend-сервисы, data residency, контроли AI gateway и список субпроцессоров.