"Antes de mandar o link pra alguém: 8 coisas que eu confiro num app recém-publicado"

"Sistema que só funcionavam usando uma conta específica. Qualquer outra conta retornava erro."

Quem escreveu é um dev brasileiro contratado pra arrumar um sistema feito com IA. A conta específica, aposto, era a de quem construiu. E a causa não é descuido: você é a pior pessoa do mundo pra testar o seu app. O seu celular já está logado, o seu e-mail já está cadastrado, o seu navegador já guardou a página, e você sabe onde clicar.

Então, antes de mandar o link pro primeiro cliente ou pro chefe, eu confiro oito coisas, todas fora da minha conta. Uns 30 minutos.

1. Abre no celular de outra pessoa, pela rede móvel

Pegue um emprestado, desligue o Wi-Fi, abra o link. Olhe três coisas: texto cortado, botão que ficou fora da tela, e o teclado cobrindo o campo que a pessoa está preenchendo. Na tela do notebook nada disso aparece.

2. Cria uma conta nova, com um e-mail que nunca foi usado

É aqui que mora a frase do começo. Se o seu cadastro manda e-mail de confirmação e o seu banco é o Supabase (o que está por trás de muito app do Lovable e do Bolt), leia isto com calma. A documentação do Supabase diz que, sem um servidor de e-mail próprio configurado, ele "se recusa a entregar mensagens para endereços que não fazem parte do time do projeto". E o limite do serviço padrão é de 2 mensagens por hora. A mesma página diz que ele serve pra testes e demonstração, não pra produção.

Traduzindo: com o seu e-mail funciona, porque você é do time. O primeiro cliente se cadastra e o e-mail nunca chega. Ele não te avisa, só desiste.

Teste: crie a conta com um e-mail pessoal que não tem nada a ver com o projeto. Chegou? Olhe o spam também. Não chegou? Peça pra IA: "configure um servidor de e-mail próprio (SMTP) no Supabase Auth e me diga qual serviço usar e onde colar as credenciais".

3. O dado continua lá depois do F5, e em outro aparelho

Crie um item no computador. Aperte F5. Continua lá? Agora abra o app no celular, com a mesma conta. O item aparece?

Se aparece no computador e não no celular, a IA guardou o dado no navegador, não no banco. Parece salvo, mas mora só naquela máquina, e some quando alguém limpa o histórico. Esse erro não dá sinal nenhum até o cliente trocar de celular.

4. Quando dá erro, quem fica sabendo?

Provoque um erro de propósito: deixe um campo obrigatório vazio e mande enviar (tem mais cinco jeitos nesta lista). Duas perguntas:

• O que a pessoa vê? Uma frase em português dizendo o que fazer, ou uma tela branca, "Error 500", um texto técnico em inglês?
• Você fica sabendo sem ninguém te contar? Saiba agora onde o seu app guarda o registro de erros, o log. Se descobrir só no dia em que quebrar, você vai procurar com cliente esperando. O caminho em cada plataforma está aqui.

5. Nenhuma chave secreta está visível

No link publicado: botão direito, "Exibir código-fonte da página", e procure (Ctrl+F) sk_live, service_role e sb_secret. Se aparecer, uma chave que dá acesso total a algum serviço está no navegador de todo mundo que abrir o link. Não mande o link ainda. O que fazer, na ordem, está aqui, e a ordem importa: primeiro troca a chave, depois apaga.

6. O endereço abre com cadeado, sempre

Digite o endereço começando com http:// (sem o "s") e veja se ele pula sozinho pro https://, o endereço com cadeado, em que a conversa entre o celular e o servidor vai protegida. O link da plataforma já faz isso. Domínio próprio recém-ligado às vezes não, porque o certificado (o documento que libera o cadeado) ainda não saiu.

Em 2026 isso deixou de ser detalhe. O Google anunciou que o Chrome 154, previsto pra outubro, passa a vir com "Sempre usar conexões seguras" ligado pra todo mundo: antes de abrir um site público sem https pela primeira vez, o navegador pede permissão ao usuário. O seu cliente vai ver um aviso antes de ver o seu app.

7. Existe uma cópia dos dados fora da plataforma

Antes do primeiro estranho cadastrar alguma coisa, baixe uma cópia do banco. Hoje. Enquanto só tem dado de teste, dá pra aprender a fazer sem pressa, e dá pra testar se ela volta. Depois do link, o dado deixa de ser só seu.

8. Você sabe quanto isso custa por mês, e onde está o freio

Link circulando é uso subindo. Escreva o número: quanto o app custa por mês, em real. E ligue o freio antes de precisar. No Supabase, o plano Pro tem um limite de gasto (Spend Cap): com ele ligado, a documentação diz que passar da cota bloqueia aquele uso até o próximo ciclo e você não é cobrado pelo excesso. Sem ele, o serviço segue e a conta cresce. Replit e outros têm alerta e teto de orçamento com outros nomes. Procure o seu.

A folha, pra colar do lado do notebook

ANTES DE MANDAR O LINK — __/__
[ ] 1. abre no celular de outra pessoa, sem Wi-Fi
[ ] 2. conta nova com e-mail estranho: o e-mail chegou
[ ] 3. item criado aparece depois do F5 e em outro aparelho
[ ] 4. erro mostra frase em português; eu sei onde fica o log
[ ] 5. nenhuma chave secreta no código-fonte da página
[ ] 6. http:// pula pra https://
[ ] 7. baixei uma cópia do banco hoje
[ ] 8. sei o custo do mês e o teto está ligado

Esta folha você roda uma vez, antes de abrir a porta. Não é a mesma coisa que a bateria que roda depois de toda mudança, nem o teste de um usuário ver o dado do outro. São listas diferentes pra momentos diferentes, e ninguém te contou que eram várias.

Oito "sim" não fazem do app um produto: fazem dele um link que você manda sem torcer. O resto (banco no seu nome, regra testada, ponto de retorno) é caminho, e tem ordem. O link dá pra mandar hoje à tarde.

Fontes

• Supabase — Send emails with custom SMTP (serviço padrão só entrega pra endereços do time; 2 mensagens por hora; uso não produtivo): https://supabase.com/docs/guides/auth/auth-smtp
• Google, blog oficial, 28/10/2025 — HTTPS by default (Chrome 147 em abril de 2026 pra quem usa Navegação Segura Aprimorada; Chrome 154 em outubro de 2026 pra todos): https://blog.google/security/https-by-defau/
• Supabase — Cost control (Spend Cap no plano Pro; sem cobrança por excesso quando ligado): https://supabase.com/docs/guides/platform/cost-control
• A fala do início é de um dev brasileiro num fórum e está no swipe file da pesquisa deste blog, coletado em fóruns brasileiros de 2025 e 2026; é relato de um caso, não estatística.