Security- en kostenaudit voor AI-apps.
De security- en kostenaudit van ExcenityAI is een gratis reviewgesprek van 30 minuten voor apps die met AI zijn gebouwd, zoals Lovable- en Supabase-apps. We bekijken je app samen, sporen beveiligingslekken en kostenrisico’s op en sturen je daarna een geprioriteerd herstelplan en een offerte.
Gesprekken, voorstellen en documentatie zijn in het Engels. Het reviewgesprek dus ook.
Je hebt het met AI gebouwd. Nu moet het echte gebruikers aankunnen.
Voor oprichters en teams van wie de app met een AI-tool is gebouwd en die zich over twee dingen zorgen maken: een datalek, en een rekening die ze niet zagen aankomen. Of je app nu tien gebruikers heeft of tienduizend: de audit werkt hetzelfde.
- Lovable
- Replit
- Cursor
- Bolt
- v0
- Base44
- Claude Code
- Google Antigravity
De acht plekken waar met AI gebouwde apps het vaakst data of geld lekken.
Gelekte API-sleutels en secrets
Sleutels voor OpenAI, Anthropic, Stripe, service roles van Supabase en cloudproviders die in frontendcode, publieke omgevingsvariabelen of de git-geschiedenis staan.
Authenticatie en autorisatie
Of elke pagina en elke API-route controleert wie er vraagt, en of de ene gebruiker de data van een andere kan lezen of wijzigen door een URL of een ID aan te passen.
RLS-check voor Supabase, regels voor Firebase
Row Level Security aan op elke blootgestelde tabel, met echte policies. En regels voor Firestore, Realtime Database en Storage die niet openstaan of nog in testmodus staan.
Open opslagbuckets
Opslag voor bestanden en afbeeldingen die iedereen met de link, of zelfs zonder link, kan bekijken, lezen of overschrijven.
Rate limits en misbruik
Of een bot of een bug je AI-endpoints, aanmeldformulieren of e-mailverzending duizenden keren kan aanroepen, en wat dat tegenhoudt.
Harde bestedingslimieten
Harde limieten, budgetten en alerts bij OpenAI, Anthropic en je cloudaccount, zodat een fout een geblokkeerd verzoek wordt in plaats van een onverwachte factuur.
Hosting op de juiste maat
Of je betaalt voor servers, databases en bandbreedte die ver boven wat je verkeer nodig heeft liggen, of juist op een opzet zit die onder belasting omvalt.
Caching en modelroutering
Herhaalde AI-aanroepen die gecachet kunnen worden, en dure modellen voor eenvoudige taken die een goedkoper model net zo goed doet.
Wil je eerst zelf aan de slag? Begin met onze Engelstalige gidsen over de beveiliging van apps gebouwd met vibe coding (Engelstalig), het begrenzen van API-rekeningen (Engelstalig) en Supabase RLS (Engelstalig).
Een plan waar je mee verder kunt, geen rapport van 40 pagina’s.
Bevindingen
Wat we hebben gevonden, in helder Engels zonder jargon, met hoe ernstig elk probleem is en hoe we het hebben vastgesteld.
Geprioriteerd herstelplan
Een lijst op volgorde: wat je vandaag oplost, wat deze maand en wat kan wachten.
Offerte
Een prijs voor de verbeteringen, als je wilt dat wij het werk doen. Je mag het plan ook aan iemand anders geven of het zelf oplossen.
Van eerste gesprek tot herstelplan.
- 01
Plan een gratis gesprek
Vertel ons met welke tool je app is gebouwd, waar hij draait en waar je je het meest zorgen over maakt.
- 02
Samen bekijken
In 30 minuten bekijken we met je mee: de app, de instellingen en de dashboards van je providers. Alles wat dringend is, melden we meteen.
- 03
Het plan op papier
We sturen de bevindingen en het geprioriteerde herstelplan, met een offerte.
- 04
Jij beslist wat er gebeurt
Wij lossen het op, je geeft het plan aan je eigen developer of je doet het zelf. Je zit nergens aan vast.
Werken met Amerikaanse en Europese data.
We werken voor start-ups en teams in de VS, het VK en Europa, dus de omgang met data komt al vroeg ter sprake. Zo werken we. Het is geen certificering.
AVG (GDPR)
We kunnen een verwerkersovereenkomst (DPA) tekenen en je data op verzoek in EU- of VS-regio’s houden.
Rekening houden met HIPAA
Voor Amerikaanse zorgklanten ontwerpen we zo dat er geen onnodige PHI wordt verwerkt, en we werken met Business Associate Agreements (BAA’s) waar je leveranciers die ondersteunen. Dit is onze aanpak, geen certificering.
Voorbereiding op SOC 2
We helpen apps voorbereiden op een SOC 2-readinessreview: toegangsbeheer, logging, secrets en de omgang met data. We zijn niet SOC 2-gecertificeerd en geven het rapport ook niet af.
Vragen voordat je een gesprek inplant.
Wat is de security-audit voor Lovable-, Supabase- en andere AI-apps?
Een security- en kostenreview van een app die met AI-tools is gebouwd, zoals Lovable, Cursor of Bolt. We zoeken naar beveiligingslekken (gelekte sleutels, ontbrekende logincontroles, open databases en opslag) en kostenrisico’s (geen bestedingslimieten, te zware hosting, verspillende AI-aanroepen). Daarna krijg je een geprioriteerd herstelplan en een offerte.
Is de eerste review echt gratis?
Ja. De eerste review is een gratis gesprek van 30 minuten waarin we samen naar je app kijken. Na het gesprek sturen we bevindingen, een herstelplan en een offerte. Je betaalt alleen als je ons inhuurt voor de verbeteringen.
Moet ik jullie toegang geven tot mijn code of accounts?
Niet voor het gesprek. We kunnen meekijken via schermdelen terwijl jij de controle houdt. Voor een diepere review vragen we alleen-lezentoegang, en we spreken af wat die omvat voordat er iets wordt gedeeld.
Met welke AI-appbouwers werken jullie?
Apps uit Lovable, Replit, Cursor, Bolt, v0, Base44, Claude Code, Google Antigravity en vergelijkbare tools. Waar het om gaat, is waarmee de app praat, zoals Supabase, Firebase, OpenAI, Anthropic en je hosting. Niet welke tool de code heeft geschreven.
Kunnen jullie voorkomen dat mijn AI- of cloudrekening uit de hand loopt?
We kunnen de controles inrichten die hem begrenzen: harde bestedingslimieten en budgetten bij de AI- en cloudproviders, rate limits in je app, en alerts. Limieten van providers grijpen niet meteen in, dus we verkleinen ook de kans op een piek door gelekte sleutels en misbruikbare endpoints te dichten.
Wat als jullie tijdens het gesprek iets ernstigs vinden?
Dan zeggen we het meteen, zodat je kunt ingrijpen, bijvoorbeeld door een gelekte sleutel te vervangen. Daarna volgt het schriftelijke plan met de volledige lijst op volgorde van prioriteit.
Lossen jullie de problemen ook op?
Als je dat wilt, ja. De offerte in je plan dekt de verbeteringen. Je kunt het plan ook met je eigen developer gebruiken.
Garanderen jullie dat mijn app daarna veilig is?
Niemand kan dat eerlijk garanderen. Een audit verkleint de meest voorkomende en duurste risico’s en laat zien wat er overblijft. Het is een review op één moment, geen certificering.
Tekenen jullie een verwerkersovereenkomst? Zijn jullie AVG-proof?
Ja, we kunnen een verwerkersovereenkomst (DPA) tekenen en je data op verzoek in EU- of VS-regio’s houden. Vooraf spreken we af welke data we tijdens een review te zien krijgen, en we beperken de toegang tot wat het werk nodig heeft.
Werken jullie aan apps die onder HIPAA vallen?
Ja, binnen grenzen. Voor Amerikaanse zorgklanten ontwerpen we zo dat er geen onnodige PHI wordt verwerkt, en we werken met Business Associate Agreements (BAA’s) waar je leveranciers die ondersteunen. Dit beschrijft hoe we werken, het is geen HIPAA-certificering. Je eigen complianceteam blijft verantwoordelijk voor de goedkeuring.
Kunnen jullie ons helpen met de voorbereiding op een SOC 2-review?
Ja. We helpen apps voorbereiden op een SOC 2-readinessreview door toegangsbeheer, logging, de omgang met secrets en dataopslag te controleren, en je krijgt een geprioriteerde lijst met verbeteringen. We zijn niet SOC 2-gecertificeerd. De formele audit doet een onafhankelijke auditor.
In welke valuta is de offerte?
Standaard in Amerikaanse dollars (USD), excl. btw. Offertes in euro (EUR) zijn op aanvraag mogelijk. Het auditgesprek is gratis, en in de offerte die volgt staat de prijs, voordat het werk begint.
Plan de gratis review. Ontdek wat er openligt.
30 minuten, in het Engels, met je app op het scherm. Daarna een plan op papier en een offerte.