O produto feito com IA já vendia. O que faltava era saber o que quebrava

O Forja fez o que todo produto novo deveria fazer: chegou ao mercado antes de ficar bonito. Os fundadores construíram a plataforma conversando com uma IA — sem equipe de engenharia, sem arquitetura desenhada, sem repositório com dono. Quando a Epicora entrou, em fevereiro de 2026, havia 1.312 usuários ativos, planos mensais, trimestrais, semestrais e vitalícios sendo vendidos, e o roadmap de gamificação inteiro rodando: XP, streaks, conquistas, ranking, loja de moedas, desafios semanais, duelos entre usuários. Mais de 40 tabelas, 14 páginas, oito funções de servidor. Funcionava, e vendia.

E foi aí que a conta chegou. Não em forma de tela quebrada, mas nas três coisas que o vibe coding não resolve por conta própria: quem pode chamar o quê, quem paga a infraestrutura e o que acontece no dia em que algo der errado. O diagnóstico foi feito sobre o código, o banco e a configuração da plataforma em produção, e saiu com nove achados — dois deles de correção imediata.

• Os oito endpoints de servidor aceitavam requisição sem autenticação. Entre eles os de pagamento: sem verificação de assinatura, quem descobrisse a URL podia simular uma compra aprovada e liberar assinatura vitalícia, creditar moeda ilimitada ou cancelar a assinatura de outra pessoa. Um deles permitia apagar registros históricos do sistema.
• Dados estritamente privados estavam visíveis para toda a base. Tarefas, hábitos, metas e os registros diários de sono, humor e produtividade de qualquer usuário podiam ser lidos por qualquer outro — e parte deles, sem nem estar logado. Uma tabela tinha regra que permitia a qualquer um criar, editar e excluir registros de qualquer outro.
• As credenciais do banco estavam versionadas no repositório — o arquivo de ambiente não estava no `.gitignore`, o que expõe a infraestrutura e sobrevive no histórico do Git mesmo depois de removido.
• A regra de negócio morava no navegador do usuário. Sem camada de servidor, inclusive a que decide quanto XP alguém ganha — a equipe já vigiava manualmente, pelo painel, quem estava burlando o próprio jogo.
• A conta de infraestrutura crescia sem visibilidade. O ambiente rodava na nuvem gerenciada da própria ferramenta de IA, com cobrança diária que passou dias debitando sem ninguém perceber, e compra de crédito acima do consumo real: cerca de R$ 2.000 por mês.
• Nenhum teste automatizado, nenhum monitoramento, nenhum ambiente de homologação e nenhuma documentação. Alteração ia direto para produção, em cima de usuário pagante, e se um pagamento falhasse ninguém era avisado. O conhecimento de como a plataforma funcionava estava na conversa com a IA.

A primeira decisão foi a que mais importa num diagnóstico: separar o que é risco do que é preferência. Um produto com assinante pagando não pode parar para ficar elegante, e a maior parte do que um engenheiro reclama num código gerado por IA é estética, não risco. Então cada achado saiu no mesmo formato — criticidade, urgência, o que estava configurado, a evidência no código e o ataque que aquilo permitia — e a fila foi ordenada por consequência, não por gosto: primeiro o que dá prejuízo direto e vaza dado pessoal, depois o que impede crescer, por último a dívida técnica.

As duas correções críticas entraram primeiro, e as duas eram sobre dinheiro e conta de usuário: verificação de assinatura nos webhooks de pagamento, com a requisição sem o segredo correto sendo rejeitada antes de qualquer processamento, e exigência de token válido nas funções administrativas, que deixaram de aceitar chamada anônima. Na sequência veio o resto: as políticas de acesso ao banco reescritas para que cada pessoa alcance estritamente o próprio registro, credenciais fora do código, origens de requisição restritas, limite de tentativas no login e na verificação de e-mail, e o armazenamento de arquivo travado por usuário.

A segunda frente foi o custo. A infraestrutura saiu da nuvem gerenciada da ferramenta de IA — a opção mais cara e a menos visível — para banco gerenciado próprio mais hospedagem de front dedicada, com backup automático e domínio próprio. A conta caiu de cerca de R$ 2.000 por mês para cerca de US$ 20 por mês. Usuários e os próprios donos relataram, depois da migração, uma plataforma mais rápida. E a terceira frente foi escrever o que não existia: Termos de Uso e Política de Privacidade aderentes à LGPD, com base legal por finalidade, retenção, exclusão de conta e o que é visível de um usuário para outro no ranking e nos duelos.