Autenticação é uma das partes que mais parecem prontas cedo demais. Você cria cadastro e login na Lovable, testa com uma conta e tudo funciona. O problema é que produção adiciona URLs reais, múltiplos usuários, sessões antigas e fluxos que quase nunca são testados no começo.
Por que a autenticação pode quebrar quando o app vai para produção?
O ambiente muda. O domínio final pode ser diferente do preview, provedores externos precisam saber para onde redirecionar o usuário e e-mails de confirmação ou recuperação passam a apontar para URLs públicas. Pequenos erros de configuração aparecem somente nessa etapa.
1. Redirect URL incorreta
Depois do login, o provedor precisa devolver o usuário para uma URL permitida. Se o domínio publicado não estiver configurado corretamente, o processo pode falhar ou levar a pessoa para um endereço antigo.
2. Site URL ainda apontando para o ambiente errado
A URL principal influencia links gerados por alguns fluxos de autenticação. Confirme que ela representa o ambiente que seus usuários realmente acessam.
3. Confirmação de e-mail não testada de ponta a ponta
Não basta verificar se o e-mail foi enviado. Clique no link, confirme a conta, volte para o aplicativo e valide o estado final do usuário.
4. Recuperação de senha esquecida
Usuários esquecem senha. Teste solicitação, recebimento do e-mail, redirecionamento, definição da nova senha e novo login. Esse fluxo costuma usar URLs diferentes do cadastro comum.
5. Usuário autenticado acessando dados de outra pessoa
Esse é um problema de autorização. Mesmo com login funcionando, tabelas precisam aplicar políticas que limitem os registros de acordo com o modelo do sistema.
6. Sessão não testada em cenários reais
Teste atualização da página, fechamento e reabertura do navegador, logout, expiração e troca de conta. A experiência deve continuar coerente sem depender de estados temporários da interface.
7. Mensagens de erro ruins ou inseguras
O usuário precisa entender o que fazer sem receber detalhes internos desnecessários. Trate conta inexistente, senha incorreta, sessão expirada e falhas de rede com mensagens claras.
Checklist de autenticação Lovable antes do lançamento
- Criar uma conta real no domínio publicado.
- Confirmar o e-mail.
- Fazer login e logout.
- Recarregar a página com sessão ativa.
- Executar recuperação de senha.
- Testar uma conta diferente.
- Tentar acessar uma rota protegida sem sessão.
- Tentar acessar dados pertencentes a outro usuário.
- Testar no celular e em janela anônima.
- Revisar Redirect URLs e Site URL.
Autenticação e autorização são coisas diferentes
Autenticação prova identidade. Autorização controla acesso. Um SaaS pode ter um sistema de login perfeito e ainda estar vulnerável se qualquer usuário autenticado puder consultar recursos que não pertencem a ele.
