← todos os posts
Segurança 5 min de leitura

"Quem é o dono do banco? As 6 perguntas de propriedade que você responde em 5 minutos"

"O banco do seu app tá no nome de quem? Seis perguntas de sim ou não, onde clicar pra responder cada uma e o que fazer com cada não."

"Simplesmente existem tantos por menores que ninguém conta."

Quem escreveu isso fazia parte de um grupo de brasileiros, nenhum programador, tentando havia duas semanas montar um SaaS (software vendido por assinatura) com IA. Na lista do que eles diziam não ter "a mínima ideia", o primeiro item era banco de dados. E dentro desse assunto tem um detalhe que é o mais caro de todos e o mais barato de checar: em nome de quem está o banco do seu app.

O banco é onde moram os cadastros, os pedidos, as contas dos usuários. Código a IA refaz em uma tarde. Banco perdido não volta.

Por que você nunca se perguntou isso

Porque quem cria a conta, na maioria das vezes, não é você. É a plataforma, num clique, no começo do projeto. Ou o freelancer que montou a primeira versão, com o e-mail dele. Ou você mesmo, com o Gmail pessoal, numa noite em que só queria ver se a ideia funcionava.

Nada disso foi erro. Pra testar ideia, tá ótimo. Vira problema no dia em que tem cliente dentro, e a diferença entre ter o código e ter a operação passa a valer dinheiro.

As 6 perguntas

Responda sim ou não. Sem "acho que sim": se você precisa abrir alguma coisa pra ter certeza, abra.

1. O banco aparece no SEU painel?

Entre no painel do serviço de banco (Supabase ou Firebase) com o seu login. O projeto do app tá lá?

Se o seu app usa o Lovable Cloud, o banco embutido do Lovable, a resposta é não, e é por desenho. A documentação do Supabase diz que esses projetos "não pertencem à sua conta do Supabase": são da Lovable, e você não vê o projeto no seu painel. Não quer dizer que você vai perder os dados. Quer dizer que a resposta honesta aqui é não.

2. Tem pelo menos dois donos, e você é um deles?

No Supabase, abra a organização (o "time" que guarda os projetos) e veja a lista de membros. A documentação diz que toda organização precisa ter pelo menos um Owner (dono), e que só o dono mexe nas configurações da organização, transfere projeto pra fora e adiciona outro dono. O papel abaixo, Administrator, faz quase tudo, menos isso.

Sim só se: um dos donos é você, e existe um segundo dono que não é ex-funcionário nem ex-freelancer. Com um dono só, a empresa depende de uma pessoa lembrar a senha.

3. O segundo fator de login tá num celular seu?

Verificação em duas etapas é o código que chega no celular depois da senha. Se ela tá ligada (deveria), confira qual celular recebe o código e qual e-mail recupera a conta. Se é o número do sócio que saiu, você tem a senha e não tem a conta.

4. O cartão é de quem?

Abra a parte de cobrança (Billing) e veja o cartão cadastrado. Se é o cartão pessoal de outra pessoa, o dia em que ele vencer ou ela sair é o dia em que a cobrança falha.

E se o projeto tá no plano grátis, outro detalhe: a documentação do Supabase diz que projeto grátis com pouca atividade em 7 dias é pausado, e que dá pra restaurar dentro de 90 dias. Projeto pago não é pausado por inatividade. Se o app tem cliente, isso é motivo pra estar no pago.

5. O domínio tá no seu CPF ou CNPJ?

Digite o seu endereço na ferramenta de consulta pública do Registro.br (o WHOIS, que mostra quem é o titular de um .br). O titular é você ou sua empresa?

Isso importa mais do que parece: pelo próprio Registro.br, a troca do CPF ou CNPJ titular é a única mudança que não dá pra fazer pela internet. Vira um processo com documento. Já falei disso no post sobre domínio.

6. Se a plataforma sumisse amanhã, você tem uma cópia de menos de 7 dias?

Não "existe backup automático". Uma cópia sua, num lugar seu, com data. No Lovable Cloud, a documentação diz que dá pra pedir uma exportação do banco por dia. No Supabase, é na seção de banco do painel. Sete dias é a minha régua: o que você aguenta perder de cadastro sem ligar pra ninguém.

E cópia que nunca foi aberta não conta. O post de backup tem o exercício de 20 minutos que prova que ela volta.

Conte os nãos

Some. Zero é raro, e tudo bem. O que cada não pede:

  • 1 ou 2: é titularidade. O passo a passo da transferência, organização com e-mail da empresa e dois donos, tá no caso da clínica. Uma tarde.
  • 3 ou 4: é conta de acesso e cobrança. Troque hoje, enquanto a pessoa ainda atende o telefone.
  • 5: é cartório, e começa com um e-mail pro titular atual.
  • 6: é o mais barato. Baixe a cópia agora, antes de fechar esta aba.

Se o seu não foi no 1 porque tá no Lovable Cloud, não entre em pânico nem saia correndo. Isso não se resolve com um clique: é migração de banco, com contagem antes e depois, e tem ordem.

Seis perguntas, uma parede

Essas seis saem das duas primeiras perguntas do checklist que eu uso pra separar protótipo de produto: quem é dono do código e quem é dono do banco. As outras oito perguntam coisa diferente. Se você volta pra ontem quando uma mudança quebra tudo. Se o login protege ou só aparece. Se outra pessoa usa o app sem você do lado. Se você sabe quanto ele custa por mês.

Cada uma tem um "não" que se resolve, e uma ordem em que resolver. Começa por aqui porque não adianta proteger um banco que não é seu.

Fontes