Lovable na prática: o que é, quanto custa, como funcionam os créditos e quais são os limites de segurança

A Lovable é uma plataforma para criar, alterar e publicar aplicativos web a partir de conversa. Na documentação oficial, ela se descreve como uma plataforma de desenvolvimento com IA que gera frontend, backend, banco de dados, autenticação e integrações, tudo apoiado em código editável. A PushTech roda sobre ela: o site foi criado a partir de um modelo da Lovable, e é pelo botão de publicação dela que cada alteração vai ao ar.

Este é o terceiro de quatro textos da seção Testado. O primeiro explica o vibe coding e seus riscos, o segundo trata do Claude Code, e o último ajuda a escolher entre os dois.

Como funciona

Cada projeto reúne um chat, uma visualização, o código e o histórico de versões. Você descreve o que quer e a Lovable gera ou altera o app. Há chats separados para planejar e tirar dúvidas, e a documentação cita ainda a sincronia do código com GitHub, GitLab e Bitbucket, conectores para serviços de terceiros e acesso por aplicativo de computador e celular, Slack e Telegram. O app é publicado em um endereço na internet, e o código pode seguir para o seu próprio fluxo de trabalho.

Quanto custa

Os preços de tabela, em dólar, vêm da documentação oficial de planos:

Há tabelas maiores, de 200 a 10.000 créditos por mês. A sincronia com o GitHub está disponível em todos os planos, inclusive o gratuito.

Como os créditos são gastos

Os créditos são um saldo único, usado para construir, para os recursos de nuvem (Cloud) e para as chamadas de IA que o seu app faz depois de publicado. A documentação diz que, no modo de construção, o custo depende da complexidade do pedido, que o modo de planejamento custa 1 crédito por mensagem e que conversas simples gastam, em geral, uma fração de crédito.

Regras que costumam surpreender: os créditos de construção diários do plano gratuito não acumulam (vencem no fim do dia); os créditos mensais dos planos pagos vencem 2 meses depois de emitidos; os créditos avulsos duram 12 meses; e os créditos não são reembolsáveis. Por isso, a recomendação prática é calcular o consumo antes de assinar um plano grande.

O que a Lovable diz sobre segurança

A documentação lista certificações (SOC 2 Tipo II e ISO 27001:2022), autenticação em dois fatores, SSO, registros de auditoria e controles de uso de dados. Para os apps feitos na plataforma, descreve duas análises:

• Verificação rápida, que roda sozinha ao publicar: checa regras de acesso do banco (tabelas sem proteção por linha), dependências com falhas conhecidas e servidores MCP expostos.
• Verificação profunda, que precisa ser iniciada manualmente: revisa o código inteiro em busca de falhas de controle de acesso, endpoints sem login, injeção, segredos vazados e dados pessoais expostos.

A própria documentação traz os limites. As ferramentas, nas palavras da empresa, "não podem garantir segurança completa", e a análise profunda não é automática. A recomendação oficial é rodar a verificação profunda antes de publicar, resolver primeiro os problemas críticos, guardar credenciais no cofre de segredos, revisar as regras de acesso depois de mudanças e, para apps com dados sensíveis, fazer uma revisão profissional.

O caso mais citado de falha foi o CVE-2025-48757. A Superblocks descreve a análise de um pesquisador que encontrou 170 de 1.645 apps da vitrine pública da plataforma, cerca de 10%, com tabelas legíveis ou graváveis por não terem regras de acesso por linha ativadas. A exposição estava nos apps feitos por usuários, e as fontes divergem em detalhes. A lição, para quem empreende, é que a plataforma gera o banco, mas a responsabilidade de conferir quem pode ler cada dado continua sendo sua.

Sincronia com o GitHub: o que a documentação diz e o que vivemos

Segundo a documentação, a sincronia vale nos dois sentidos: mudanças feitas na Lovable vão para o GitHub, e mudanças enviadas à branch ativa do GitHub voltam para a Lovable. A Lovable cria um repositório novo e privado ao conectar o projeto, e não é possível conectar a um repositório já existente. Se as duas pontas ficam com commits diferentes, a Lovable envia o que tem para uma branch chamada lovable-sync, e a próxima sincronia vinda do GitHub substitui a versão da Lovable pela do GitHub, o que pode apagar edições feitas só na plataforma. A documentação alerta ainda para não apagar o repositório, porque isso interrompe a sincronia.

Na PushTech, isso virou rotina:

• Dois autores no mesmo repositório. Dos 92 commits do projeto até 24 de outubro, 54 foram feitos pelo robô da Lovable. Como ela também grava na branch principal, todo envio nosso começa com git pull --no-rebase, e a regra do repositório é nunca reescrever o histórico.
• Arquivos gerados pela plataforma. O arquivo de tipos do banco é regenerado pela Lovable. Em 23 de outubro, isso apagou um trecho que tinha sido acrescentado à mão, e foi preciso mudar o código para não depender dele.
• Alterações no banco só pela Lovable. Um arquivo de migração enviado ao repositório não foi aplicado automaticamente: nas verificações dos dias 22 e 23, a API respondia que a tabela não existia. A tabela só passou a existir mais tarde, por uma ação feita do lado da plataforma, e a API confirmou isso em 24 de outubro.
• Créditos. A equipe contou que os créditos acabaram durante o projeto, e por isso a maior parte das alterações de código passou a ser feita pelo repositório, e não pelo chat da Lovable.
• Publicar continua sendo um clique na Lovable. O que vai para o repositório só entra no ar quando a equipe publica na plataforma, e foi a plataforma que ativou o login com Apple.

Essas observações vêm de uso real em um projeto pequeno. Não são uma avaliação geral da plataforma.

Para quem faz sentido

• Quem quer validar uma ideia rápido, com site, cadastro e banco prontos e publicados.
• Quem não programa e precisa de hospedagem, domínio e login sem montar nada.
• Quem quer um repositório próprio: a sincronia com o GitHub permite sair da plataforma levando o código.

Cuidados: acompanhe o gasto de créditos, ative e teste as regras de acesso do banco e use a verificação profunda de segurança antes de publicar qualquer coisa com dados de clientes.

Como testamos

A Redação PushTech usa a Lovable no dia a dia do site. As observações vêm do histórico do repositório e do que a equipe relatou, e não de um teste padronizado. O site é hospedado e publicado pela Lovable, e este texto foi escrito com ajuda do Claude Code, da Anthropic, o que o leitor deve considerar. Não declaramos relação comercial com a Lovable.

Perguntas frequentes

O que é a Lovable?

Uma plataforma de desenvolvimento com IA que cria, altera e publica aplicativos web a partir de conversa, com frontend, backend, banco, login e integrações.

Quanto custa a Lovable?

O plano gratuito dá 5 créditos de construção por dia, até 30 por mês. O Pro começa em US$ 25 por mês (100 créditos) e o Business em US$ 50 por mês, em dólar e pelos preços de tabela.

Os créditos acumulam?

Os diários do plano gratuito vencem no fim do dia. Os mensais dos planos pagos vencem 2 meses depois de emitidos, e os créditos não são reembolsáveis.

Os apps feitos na Lovable são seguros?

A plataforma tem verificações automáticas e uma análise profunda manual, mas a própria documentação diz que elas não garantem segurança completa. Quem publica deve conferir as regras de acesso aos dados.

Posso levar meu código embora?

Sim, nos planos pagos o código pode ser baixado, e a sincronia com o GitHub existe em todos os planos. Lembre que a Lovable cria um repositório novo e não conecta a um existente.

Fontes

• Welcome to Lovable, Documentação da Lovable
• Subscription plans, Documentação da Lovable
• Plans and credits, Documentação da Lovable
• Lovable's Built-in Security Features, Documentação da Lovable
• GitHub integration, Documentação da Lovable
• Lovable Vulnerability Explained: How 170+ Apps Were Exposed, Superblocks