O Lovable é uma plataforma de IA que gera aplicações web completas, com frontend, backend, banco de dados e autenticação, a partir de descrições em linguagem natural. Você escreve o que quer construir, a ferramenta monta o app e publica em uma URL própria, sem exigir que você toque em código. Até 24 de agosto de 2026, a empresa sueca por trás do produto vale US$ 6,6 bilhões e registra 100 mil novos projetos por dia. Este guia explica como o Lovable funciona, quanto custa, quando ele faz sentido e os riscos de segurança que já viraram CVE.
O que é o Lovable e quem está por trás da plataforma?
O Lovable é um produto da Lovable Labs Incorporated, fundada em 2023 em Estocolmo, na Suécia, por Anton Osika e Fabian Hedin, ex-alunos do KTH Royal Institute of Technology que receberam o KTH Innovation Award em 2025 pelo projeto. Antes disso, em 2023, Osika já tinha criado o GPT Engineer, um software open-source de geração de aplicações com LLMs que serviu de embrião técnico para o produto atual.
Por baixo do capô, a ferramenta gera aplicações React com TypeScript, estilizadas com Tailwind CSS e conectadas a um backend Supabase, que cuida de banco de dados, autenticação e armazenamento. É o expoente mais visível do chamado vibe coding: o desenvolvimento em que você produz software conversando com um LLM em vez de digitar o código linha a linha.
Um detalhe de grafia que confunde muita gente: quem busca “lovable ai”, “lovable ia” ou até “loveable ai” (com um “e” a mais que não existe no nome) chega ao mesmo produto. O site oficial é lovable.dev.
Os números de crescimento ajudam a dimensionar o fenômeno:
- US$ 330 milhões captados em dezembro de 2025, com avaliação de US$ 6,6 bilhões, em Série B liderada por CapitalG e pelo fundo Anthology da Menlo Ventures, com participação de NVentures (o braço de venture capital da NVIDIA), Salesforce Ventures e Databricks Ventures.
- US$ 200 milhões na Série A de julho de 2025, com avaliação de US$ 1,8 bilhão, apenas oito meses depois do lançamento.
- Mais de 25 milhões de projetos criados, 100 mil projetos novos por dia e 500 milhões de visitas a sites feitos na plataforma nos seis meses anteriores, segundo o mesmo anúncio de dezembro de 2025.
A missão declarada da empresa é permitir que os 99% da população que não sabem programar construam software conversando com a IA. Ambicioso? Sim. Mas os limites práticos aparecem já na primeira publicação de um app com dados reais, como você vai ver adiante.
Como funciona o Lovable na prática: do prompt à publicação
O fluxo do Lovable se resume a descrever, refinar e publicar, tudo dentro de um editor com chat de um lado e preview em tempo real do outro. O passo a passo da documentação oficial segue esta ordem:
- Criar a conta: cadastro por e-mail, Google, GitHub ou Apple.
- Descrever o app em linguagem natural: a orientação oficial é manter a primeira versão simples, sem login e sem banco de dados, para reduzir a chance de erro.
- Iterar pelo chat: cada alteração vira uma versão restaurável, e a recomendação é pedir uma mudança por vez, validando no preview antes da próxima.
- Ajustar visualmente: uma barra de ferramentas no preview deixa você selecionar elementos da interface e mexer neles sem escrever prompt novo.
- Publicar: o botão Publish coloca o app no ar em uma URL gratuita
lovable.app.
O que pega quem está começando: o site publicado é um snapshot. Você continua editando no preview, acha que está tudo no ar, e nada mudou para o visitante. Alterações só entram em produção quando você clica em Publish de novo.
Em fevereiro de 2026, a plataforma lançou o Plan Mode, em que a IA apresenta um plano detalhado do que pretende construir antes de gerar qualquer código, para você revisar e aprovar. Há também integração com Figma (importar um design como ponto de partida, por link direto ou plugin) e com GitHub, com sincronização bidirecional do código-fonte. Essa última é a ponte para times técnicos: o projeto pode continuar num IDE tradicional sem abandonar o editor do Lovable.
Quanto custa o Lovable? Créditos, plano gratuito e planos pagos
O Lovable cobra por créditos, num sistema unificado que cobre três frentes: as mensagens para planejar, gerar e editar o app, a hospedagem via “Cloud” e os recursos de IA embutidos no app publicado. Cada mensagem em modo build consome de 0,5 a mais de 2 créditos, conforme a complexidade da tarefa, o que torna difícil prever o custo de um projeto antes de começar.
Os planos listados na documentação de créditos são estes:
- Gratuito: limitado a 30 créditos por mês.
- Pro: US$ 25 por mês.
- Business: US$ 50 por mês.
- Enterprise: preço sob consulta.
Fora os créditos gerais dos planos, existem concessões específicas: 5 créditos diários para build, 20 créditos mensais de Cloud e 4 créditos mensais de IA. Na prática, o plano gratuito serve para experimentar e pouco mais que isso. Um app iterado com frequência esgota 30 créditos rápido, já que cada ida e volta no chat tem custo.
Quando usar o Lovable (e quando ele não é uma boa ideia)
O Lovable rende mais em protótipos, MVPs, ferramentas internas e landing pages; em sistemas críticos, ele exige revisão técnica que a plataforma sozinha não entrega. Esse recorte sai do cruzamento entre a documentação oficial e a pesquisa acadêmica sobre vibe coding, e os dois lados apontam na mesma direção.
68% dos praticantes de vibe coding descrevem o código gerado como “rápido, porém falho”, útil para tarefas pontuais e inadequado para produção, segundo uma revisão de literatura sobre vibe coding publicada em 2025 no arXiv.
A mesma revisão mapeou os motivadores: velocidade aparece em 62% dos relatos, acesso para não desenvolvedores em 14% e aprendizado em 11%. Com base nisso, os contextos adequados são prototipagem rápida, validação de MVPs, projetos pessoais de baixo risco e experimentos com frameworks novos. Os inadequados: sistemas de produção sem controles adicionais, aplicações sensíveis a segurança, código que vai precisar de manutenção por anos e qualquer app cuja falha tenha consequência séria.
O dado que mais pesa nesse conjunto é a crise de QA. Segundo a mesma revisão de 2025, 36% dos usuários pulam qualquer verificação de qualidade, confiando apenas no fato de o código rodar, e outros 18% aceitam as saídas da IA sem validação nenhuma. O material de marketing da empresa destaca fundadores que atingiram de US$ 100 mil a US$ 1 milhão de ARR meses após lançar produtos na plataforma. São casos reais? Provavelmente. Mas são estudos de caso escolhidos pela própria empresa, e não uma amostra independente.
Para o contexto brasileiro, vale um número: 17% das empresas do país usavam algum tipo de IA em 2025, segundo a pesquisa TIC Empresas do Cetic.br, contra 13% em 2023 e 2024. Entre as que adotam, 80% compram software pronto e 60% contratam fornecedor externo, o padrão de mercado que plataformas como o Lovable tentam ocupar ao baratear o software sob demanda. A pesquisa do Cetic.br não mede ferramentas de geração de apps por IA especificamente; ainda não existe levantamento oficial brasileiro sobre esse recorte.
O Lovable é seguro? O que a CVE-2025-48757 ensina sobre riscos
Depende inteiramente de como você configura o que a IA gerou, e o histórico recomenda cautela: o Lovable já teve uma vulnerabilidade crítica registrada na base oficial do governo americano. A CVE-2025-48757, classificada como crítica com CVSS 9,3, descreve uma política insuficiente de Row-Level Security (RLS) em bancos de aplicações geradas até 15/04/2025, permitindo que atacantes remotos, sem autenticação, lessem e escrevessem em tabelas arbitrárias.
O mecanismo é simples de entender. Toda aplicação gerada embute no lado cliente a anon_key, a chave pública do Supabase. Quando o desenvolvedor não configura as políticas de RLS, essa chave permite consultas diretas ao banco. Qualquer pessoa com o bundle JavaScript em mãos consegue montar as consultas.
A escala do problema foi medida. O pesquisador que identificou a falha escaneou 1.645 aplicações Lovable e encontrou 170 (10,3%) com bancos expostos, somando 303 endpoints de API vulneráveis, com extração possível de listas de usuários, registros de pagamento e chaves de API. No Brasil, a Hakai Security replicou e ampliou a investigação com a ferramenta Chupabase, que extrai bundles de apps Lovable mal configurados, reconstrói os endpoints a partir do código e testa o acesso usando o papel público.
As recomendações da pesquisa brasileira funcionam como checklist mínimo antes de publicar qualquer app com dados sensíveis:
- Habilitar RLS em todas as tabelas, com políticas específicas por papel.
- Aplicar o princípio do menor privilégio à
anon_key. - Validar autenticação explicitamente em RPCs e Edge Functions.
- Mover tabelas críticas para fora do schema público.
Se o app vai tratar dados pessoais ou de pagamento, uma auditoria de integração de IA independente antes do lançamento custa uma fração do que custa um vazamento. Confiar na configuração padrão gerada foi exatamente o que expôs aquelas 170 aplicações.
Como usar bem o Lovable: quatro práticas antes de publicar
Usar bem o Lovable significa tratar o app gerado como rascunho promissor que precisa de teste e revisão, e as práticas abaixo saem da documentação oficial combinada com os achados de segurança de 2025.
- Teste tudo antes do Publish. A documentação orienta validar cada recurso interativo em desktop e mobile antes de publicar, já que nada entra no ar sem o clique explícito.
- Peça uma mudança por vez. Prompts incrementais e específicos, apontando exatamente o problema quando algo quebra, produzem menos regressões do que pedidos amplos.
- Revise a segurança manualmente. RLS habilitado, bundle de produção auditado, nada de aceitar o padrão automático quando há dado sensível envolvido.
- Conecte ao GitHub cedo. A sincronização bidirecional permite que um time de engenharia de software revise, versione e evolua o código quando o projeto deixa de ser protótipo.
Esse último ponto merece ênfase. O protótipo validado no Lovable raramente é o produto final; ele é o argumento que justifica construir o produto final.
O que avaliar antes de colocar um app do Lovable em produção
Trate o Lovable como acelerador de validação: em 2026, nenhuma ferramenta coloca uma ideia funcional na frente de usuários e investidores tão rápido, por US$ 25 mensais. Só que os mesmos dados que sustentam essa velocidade mostram o outro lado: 68% dos praticantes consideram o código “rápido, porém falho”, e 10,3% das aplicações escaneadas em 2025 tinham o banco aberto para qualquer visitante.
A pergunta certa antes do Publish com dados reais é uma só: quem revisou as políticas de acesso deste banco? Se a resposta for “ninguém”, pare aí. Valide a ideia na plataforma, sincronize com o GitHub e faça a revisão técnica antes do primeiro usuário de verdade. Se quiser ajuda para separar o que o protótipo provou do que a produção exige, fale com o nosso time.
