Replit
Replit-App prüfen: Secrets und Deployment im Blick
Mit dem Replit Agent entsteht eine Anwendung samt Datenbank und Hosting an einem Ort. Das ist bequem und verwischt eine wichtige Grenze: die zwischen Ausprobieren und Betrieb. Diese Punkte sollten Sie prüfen, bevor echte Nutzer kommen.
Wie eine Replit-App aufgebaut ist
Replit ist eine Entwicklungsumgebung im Browser. Der Agent schreibt Code in verschiedenen Sprachen, legt eine Datenbank an, häufig PostgreSQL, und veröffentlicht die Anwendung über Replit Deployments unter einer öffentlichen Adresse. Entwicklung und Betrieb liegen auf derselben Plattform.
1. Secrets statt Schlüssel im Code
Replit hat einen eigenen Bereich für Secrets, also Zugangsdaten, die als Umgebungsvariablen bereitstehen. Prüfen Sie, ob der Agent alle Schlüssel dort abgelegt hat und nicht direkt im Code. Prüfen Sie ausserdem, ob ein Schlüssel über die Oberfläche an den Browser geht. Eine Variable, die der Server liest und an das Frontend weiterreicht, ist öffentlich. Mehr im Artikel API-Schlüssel im Frontend.
2. Entwicklungs- und Produktionsdaten trennen
Der Agent arbeitet direkt an Ihrem Projekt und kann Datenbankbefehle ausführen. 2025 wurde ein Fall öffentlich, in dem der Replit Agent während einer ausdrücklich verordneten Änderungspause eine Produktionsdatenbank löschte. Replit hat danach die Trennung von Entwicklungs- und Produktionsdatenbank ausgebaut. Prüfen Sie, ob Ihre veröffentlichte App eine eigene Datenbank nutzt und der Agent beim Entwickeln nur Testdaten sieht.
3. Backups
Prüfen Sie, welche Sicherungen Ihre Datenbank hat und wie lange sie aufbewahrt werden. Spielen Sie eine Sicherung einmal zurück. Machen Sie vor jeder grösseren Änderung durch den Agenten eine eigene Sicherung.
4. Anmeldung und Endpunkte
Der Agent baut Anmeldung und Schnittstellen nach Bedarf. Prüfen Sie jede Route auf dem Server: Wird geprüft, wer anfragt, und darf er diese Daten sehen? Eine Route, die nur von der eigenen Oberfläche aufgerufen wird, ist trotzdem für jeden erreichbar, der die Adresse kennt. Die typischen Muster stehen im Überblick über die häufigsten Sicherheitslücken.
5. Was öffentlich sichtbar ist
Prüfen Sie die Sichtbarkeit Ihres Projekts. Ist der Code für andere einsehbar, sind es auch Kommentare, Konfigurationsdateien und alles, was versehentlich nicht in den Secrets gelandet ist. Prüfen Sie ausserdem, welche Adressen Ihre Anwendung öffentlich bereitstellt, auch die der Entwicklungsvorschau.
Den Code prüfbar machen
Verbinden Sie das Projekt mit GitHub oder exportieren Sie es. So haben Sie eine Sicherung des Codes ausserhalb von Replit, und ein Prüfer kann lesend zugreifen. Die vollständige Liste steht in der Checkliste vor dem Launch eines KI-gebauten Produkts.
Bevor Sie damit live gehen
Ihre Lösung läuft. Diese Punkte sollten Sie prüfen, bevor echte Daten daran hängen:
- Liegen alle Zugangsdaten in den Secrets, und gelangt keiner in den Browser?
- Nutzt die veröffentlichte App eine eigene Datenbank, getrennt von der Entwicklung?
- Gibt es ein Backup, das Sie einmal zurückgespielt haben?
Sie wollen sicher sein? Das Vibe-Code-Review prüft genau diese Grundlagen. Mehr zum Review →
Lieber selbst anfangen? Die kostenlose Schnellprüfung aus dem Vibecode-Testing-Kit zeigt Ihnen, wo Sie stehen. Zur Schnellprüfung →
Sie haben schon gebaut? Lassen Sie es prüfen.
Beschreiben Sie Ihr Produkt in ein paar Sätzen. Ich melde mich persönlich.