A Lovable adicionou em 27 de agosto de 2026 um controle importante para equipes que publicam aplicações internas: agora é possível impedir que membros convidem qualquer endereço externo e aceitar somente e-mails ligados aos domínios verificados da própria organização. Para times que trabalham com dados internos, dashboards, ferramentas operacionais ou aplicações corporativas, isso reduz o risco de um projeto ser compartilhado por engano com uma conta pessoal ou com alguém de fora da empresa.
O que mudou nos convites externos da Lovable
Quando External invites está habilitado, a Lovable exibe a opção Who can receive external invites. O padrão é Anyone, que permite convidar qualquer endereço fora do workspace. Em Business e Enterprise, admins e owners podem trocar essa opção para Verified-domain emails only. A partir daí, novos convites só podem ser enviados para endereços pertencentes aos domínios corporativos previamente verificados.
- Anyone: qualquer endereço de e-mail fora do workspace pode receber convite.
- Verified-domain emails only: somente endereços dos domínios verificados da empresa podem receber novos convites.
- Convites já existentes continuam válidos após a mudança.
- Se nenhum domínio estiver verificado, escolher Verified-domain emails only bloqueia todos os novos convites externos.
Quem pode usar esse recurso
A restrição de destinatários para convites externos está disponível nos planos Business e Enterprise e só aparece quando External invites está habilitado. Para gerenciar os controles de segurança do workspace, é necessário ter função de administrador ou owner. A verificação de domínio também exige um workspace Business ou Enterprise e acesso administrativo ao DNS do domínio da empresa.
Passo 1: verifique o domínio da empresa na Lovable
Abra Settings → Access → Identity e localize Verified domains. Clique em Add domain e informe o domínio corporativo, como empresa.com.br. A Lovable não aceita wildcard nesse campo. Em seguida, ela fornece um token de verificação que precisa ser publicado no DNS do domínio.
- No provedor de DNS, crie um registro do tipo TXT.
- Use @ como Host/Name quando o provedor aceitar esse formato; alguns provedores deixam o campo vazio ou pedem o próprio domínio.
- Cole exatamente o valor iniciado por lovable_verification= fornecido pela Lovable.
- Aguarde a propagação do DNS.
- Volte para a Lovable e clique em Verify domain.
Passo 2: restrinja quem pode receber convites externos
Depois que o domínio estiver verificado, abra Settings → Security → Privacy & security. Na seção Publishing, mantenha External invites habilitado e localize Who can receive external invites. Troque Anyone por Verified-domain emails only e salve a configuração. A partir desse momento, o seletor de audiência do fluxo de publicação passa a rejeitar novos endereços que não pertençam aos domínios aprovados.
O que o usuário vê quando tenta convidar um e-mail não permitido
O fluxo de publicação informa que somente e-mails de domínios verificados podem ser convidados. Isso ajuda a transformar uma política de segurança em uma regra aplicada diretamente pela plataforma, sem depender apenas de orientação interna para os membros da equipe.
Domínio verificado não é o mesmo que domínio personalizado do app
Esses dois recursos resolvem problemas diferentes. O domínio personalizado define o endereço público usado para acessar seu site ou aplicativo publicado. Já o domínio verificado comprova que a organização controla um domínio de e-mail e é usado por recursos de identidade, SSO, provisionamento e políticas de acesso. Se você está configurando o endereço público do seu projeto, veja também o guia Como conectar domínio na Lovable.
Outros recursos liberados por domínios verificados
A verificação do domínio funciona como base para vários controles corporativos da Lovable. Além da restrição de convites externos, ela pode ser usada para SSO, exigência de SSO, cadastro por e-mail verificado, provisionamento automático no primeiro login, SCIM no Enterprise e URLs de apps com identidade da empresa. Por isso, equipes que estão profissionalizando o uso da Lovable podem tratar a verificação de domínio como parte da configuração inicial do workspace corporativo.
Limitações importantes
- A configuração não cria uma allowlist para domínios de empresas parceiras; para convidar pessoas de outras empresas, a opção precisa permanecer em Anyone.
- Endereços convidados antes da restrição continuam com acesso.
- Verificar um domínio não o reserva exclusivamente para um workspace; a mesma organização pode verificá-lo em mais de um workspace.
- A verificação é feita uma vez e não expira enquanto o domínio permanecer cadastrado.
- Remover o último domínio verificado pode desativar recursos dependentes dele, como Enforce SSO e Verified email sign-up.
