תשובה קצרה: כן. אפליקציה שנבנתה ב-Lovable, Base44 או Cursor יכולה לגבות כסף מלקוחות, ויום ההשקה יכול לעבור בלי שמשהו נשבר מול משתמשים. מה שקובע את זה הוא לא הכלי. מה שקובע הוא אם יש לכם תשובה לחמש שאלות לפני התשלום הראשון: מי רואה איזה מידע, האם כל תשלום נרשם פעם אחת, מה קורה אם הנתונים נמחקים, מה קורה כשמגיעים פי 10 משתמשים, ומי מתקן כשמשהו נופל ביום הראשון. כל שאלה שהתשובה עליה היא "לא יודע" היא המקום שבו משהו יישבר מול לקוח שכבר שילם.
מה משתנה ברגע שמישהו משלם
כל עוד האפליקציה בשימוש שלכם ושל כמה חברים, תקלה היא עוד הודעה לתיקון. לקוח משלם מביא איתו שלושה דברים חדשים: מידע אישי שהוא מסר לכם, כסף שעבר דרך ספק תשלומים, וציפייה שמה שעבד אתמול יעבוד גם מחר.
הכלים עצמם אומרים את זה בגלוי. בתיעוד האבטחה של Lovable כתוב שכלי הסריקה "cannot guarantee complete security", ושהאחריות לכך שהאפליקציה עומדת בדרישות האבטחה שמתאימות לשימוש שלה היא של מי שבנה אותה. כלומר השאלה "אפשר להשיק?" היא לא שאלה על הכלי. היא שאלה על האפליקציה שלכם.
חמש השאלות
1. מי רואה איזה מידע?
לקוח אחד אסור שיראה את ההזמנות, ההודעות או הפרטים של לקוח אחר. באפליקציות שנבנו בכלים האלה, מה שמונע את זה הוא בדרך כלל כללי הגישה במסד הנתונים: RLS ב-Supabase, או כללי הגישה ל-entities ב-Base44.
מוכן: פתחתם שני חשבונות בדיקה, ניסיתם מאחד לקרוא ולשנות נתונים של השני, ולא הצלחתם.
עוד לא: "הסריקה יצאה ירוקה", בלי שניסיתם בעצמכם.
איך עושים את הבדיקה: צ'קליסט לפני השקה לאפליקציית Lovable, ובדיקת אבטחה לאפליקציית Base44.
2. האם כל תשלום נרשם פעם אחת, אצלכם ואצל הספק?
לפי התיעוד של Stripe, נקודת קצה שמקבלת הודעות על תשלומים עלולה לקבל את אותו אירוע יותר מפעם אחת, והקוד צריך לזהות אירוע שכבר טופל ולדלג עליו. אותו תיעוד ממליץ לאמת שכל הודעה באמת הגיעה מ-Stripe, כי בלי אימות אפשר לשלוח הודעה מזויפת שמאשרת הזמנה.
מוכן: עשיתם עסקת בדיקה מקצה לקצה, והסכום שהמשתמש ראה, מה שנשמר אצלכם ומה שהספק רשם זהים.
עוד לא: הלקוח מקבל גישה כשדף "התשלום הצליח" נטען, ולא כשהספק אישר את התשלום.
פירוט: הקוד נשמר, אבל ספק התשלומים לא קיבל.
3. מה קורה אם הנתונים נמחקים מחר?
שני דברים שכדאי לדעת לפני שיש במערכת נתונים של לקוחות. הראשון: ב-Lovable, לפי התיעוד של היסטוריית הגרסאות, חזרה לגרסה קודמת מחזירה את הקוד בלבד. היא לא מחזירה נתונים שהשתנו או נמחקו במסד הנתונים. השני: הגיבוי תלוי במקום שבו המסד יושב. התיעוד של Lovable מתאר גיבוי יומי שנשמר עד כ-14 יום, ושחזור שאי אפשר לבטל. ב-Supabase, לפי התיעוד שלה, גיבוי יומי אוטומטי ניתן בתוכניות בתשלום, ולפרויקטים בתוכנית החינמית ההמלצה היא לייצא את הנתונים בעצמם.
מוכן: אתם יודעים איפה הגיבוי, ושחזרתם ממנו פעם אחת לפני ההשקה.
עוד לא: "נראה לי שיש גיבוי".
4. מה קורה כשמגיעים פי 10 משתמשים?
השקה מוצלחת היא בדיוק הרגע שבו העומס קופץ. מה שעבד עם עשרה משתמשים יכול להאט או להיתקע כשהם מגיעים ביחד, ופעולות שעולות כסף, כמו קריאה למודל AI, SMS או מייל, מצטברות לחשבון.
מוכן: פתחתם את דף השימוש של כל שירות בתשלום, הכפלתם בעשר, ואתם יודעים מה קורה כשמגיעים לתקרה.
עוד לא: אין מגבלה על כמה פעמים משתמש אחד יכול להפעיל פעולה שעולה כסף.
מה בודקים כשזה כבר קורה: האפליקציה איטית ונשברת מאז שהגיעו משתמשים אמיתיים.
5. מי מתקן כשמשהו נופל ביום הראשון?
ביום ההשקה השאלה היא לא אם תהיה תקלה, אלא כמה זמן היא תישאר מול הלקוחות. צריך מישהו שיודע איפה רואים את השגיאות, איך חוזרים לגרסה האחרונה שעבדה, ומה עושים כשהתיקון נוגע בנתונים.
מוכן: סימנתם את הגרסה שעולה לאוויר, אתם יודעים לחזור אליה, ויש מי שיכול לקרוא את הקוד אם ה-AI לא מצליח לתקן.
עוד לא: התוכנית היא "נבקש מה-AI לתקן".
חמש השאלות בטבלה אחת
| שאלה | מוכן | עוד לא |
|---|---|---|
| מי רואה מה | בדיקת שני חשבונות עברה | רק סריקה אוטומטית |
| תשלום נרשם פעם אחת | שלושת הסכומים זהים | גישה ניתנת בדף התודה |
| נתונים נמחקים | שחזרתם מגיבוי פעם אחת | "נראה לי שיש גיבוי" |
| פי 10 משתמשים | שימוש כפול עשר מול התקרה | אין מגבלה על פעולות שעולות כסף |
| תקלה ביום הראשון | גרסה מסומנת ומי שקורא קוד | "נבקש מה-AI לתקן" |
ואם לחלק מהשאלות אין תשובה?
זה מצב נפוץ, והוא לא אומר שצריך לבנות מחדש. הוא אומר שצריך לבדוק לפני שקובעים מחיר ופותחים הרשמה. את השאלות הראשונות אפשר להתחיל לבד, עם בדיקת המוכנות לפרודקשן ובדיקת האבטחה לאתר.
כשהאפליקציה כבר שומרת מידע של משתמשים או עומדת לגבות כסף, הבדיקה לפני השקה עונה על חמש השאלות בשבילכם: מפתח בכיר עובר ביד על הקוד, מסד הנתונים והתשלומים, ומוסר דוח בעברית עם מה לסגור קודם. איך נראה דוח כזה אפשר לראות בדוח לדוגמה.
מקורות
- Lovable Documentation - Security: הסריקות לא מבטיחות אבטחה מלאה, והאחריות היא של מי שבנה
- Lovable Documentation - Version history: חזרה לגרסה מחזירה את הקוד בלבד
- Lovable Documentation - Database backups: גיבוי יומי, עד כ-14 יום, ושחזור שאי אפשר לבטל
- Supabase Docs - Database Backups: גיבויים לפי תוכנית
- Stripe Docs - Receive Stripe events in your webhook endpoint: אירועים כפולים ואימות הודעות
ההשקה קרובה? בעמוד הבדיקה לפני השקה אפשר לקבוע שיחת וואטסאפ חינמית של 20 דקות. מספרים מה בניתם ומתי אתם רוצים להתחיל לגבות כסף, ונגיד לכם איזו מחמש השאלות צריכה בדיקה.
