लगभग एक मिनट में लॉन्च से पहले की छह जाँचें, और हर समस्या का तैयार सुधार जिसे आप अपने AI टूल में पेस्ट करें।
इनके साथ काम करता हैLovableBoltCursorReplitv0Telegram बॉटबीटा
नमूनाdemo.okaytoship.com
11 अक्टू॰ 2026
लॉन्च के लिए तैयार नहीं
22 समस्याएँ · 2 गंभीर
हमारे टेस्ट ऐप का असली स्कैन। पूरा नमूना खोलें
हर स्कैन छह क्षेत्रों को कवर करता है। हर क्षेत्र को एक स्टेटस मिलता है: ठीक, सुधार चाहिए या गंभीर।
पेज के कोड में छूटी डेटाबेस और भुगतान keys, ऐसी टेबल जिन्हें कोई भी पढ़ सके, गायब सुरक्षा हेडर, और .env व source maps जैसी खुली फ़ाइलें।
चेकआउट काम करता है या नहीं, क्या विज़िटर ब्राउज़र में कीमत बदल सकता है, और क्या कोड में गुप्त भुगतान keys हैं।
सर्च इंजन आपका कंटेंट देखते हैं या खाली पेज। टाइटल, विवरण, लिंक प्रीव्यू, sitemap और robots.txt।
Core Web Vitals, स्क्रिप्ट का आकार और इमेज, Lighthouse से मोबाइल प्रोफ़ाइल पर मापे गए।
प्राइवेसी पॉलिसी, शर्तें, ट्रैकर इस्तेमाल करने पर कुकी बैनर, आपसे संपर्क का तरीका, और आपके ईमेल के लिए SPF, DKIM व DMARC रिकॉर्ड।
OpenAI या Anthropic जैसी पेड AI API जिन्हें सीधे ब्राउज़र से बुलाया जाता है, जहाँ कोई भी आपकी key इस्तेमाल करके आपका बिल बढ़ा सकता है।
| जाँच | कैसे |
|---|---|
| पेज के कोड में कीज़ और टोकन | Gitleaks नियमों पर आधारित पैटर्न, जो आपकी साइट हर विज़िटर को भेजे गए कोड पर चलते हैं |
| .env और सोर्स मैप जैसी खुली फ़ाइलें | जाने-माने पाथ पर सिर्फ़ पढ़ने वाली रिक्वेस्ट, जैसी कोई ब्राउज़र भेज सकता है |
| गति, SEO और एक्सेसिबिलिटी | मोबाइल प्रोफ़ाइल पर Lighthouse और axe-core |
| पेमेंट और पेड AI API | सामान्य ब्राउज़र सेशन में आपका पेज क्या लोड करता और भेजता है |
| ईमेल: SPF, DKIM, DMARC | सार्वजनिक DNS लुकअप |
कुछ जाँचें मुफ़्त टूल्स जैसी हैं। हम उन्हें एक जगह जोड़ते हैं, आसान शब्दों में समझाते हैं और हर एक को ठीक करने का तरीका दिखाते हैं।
हम आपका ऐप विज़िटर की तरह खोलते हैं और पैसिव जाँच चलाते हैं। साइन-अप नहीं। लगभग एक मिनट।
100 में से स्कोर, छह क्षेत्रों का स्टेटस और सबसे ज़रूरी समस्या का पूरा विवरण। मुफ़्त।
हर समस्या सबूत और कदम-दर-कदम समाधान के साथ, साथ में Lovable, Bolt, Cursor या Replit में पेस्ट करने के प्रॉम्प्ट। $19।
प्रॉम्प्ट Lovable, Bolt, Cursor या Replit में पेस्ट करें। फिर 7 दिनों के अंदर मुफ़्त दोबारा स्कैन करके देखें कि काम हुआ या नहीं।
AI टूल तेज़ी से बनाते हैं। वे बार-बार वही छेद भी छोड़ते हैं। शोधकर्ताओं ने इन्हें गिना है।
1,645 में से 170
Lovable के सार्वजनिक शोकेस के ऐप्स में ऐसी डेटाबेस टेबल थीं जिन्हें इंटरनेट पर कोई भी पढ़ या बदल सकता था। कारण: Supabase में row-level security नियम नहीं थे।
400+
खुले सीक्रेट, जैसे API keys और एक्सेस टोकन, vibe-coding प्लेटफ़ॉर्म पर बने 5,600 से ज़्यादा सार्वजनिक ऐप्स में मिले। इसी अध्ययन में 2,000 से ज़्यादा कमज़ोरियाँ और निजी डेटा लीक के 175 मामले मिले।
45%
बार, 100 से ज़्यादा AI मॉडलों के लिखे कोड में 80 आम कोडिंग कामों पर जाँच के दौरान सुरक्षा खामी पाई गई।
स्रोत: Veracode, 2025 GenAI Code Security Report, जुलाई 2025
हमारे पास कोई सर्टिफ़िकेट नहीं है और हम होने का दिखावा नहीं करते। यहाँ बताया है कि हमारी जाँचें किन मानकों से मिलाई गई हैं और किन टूल पर चलती हैं, ताकि आप ख़ुद जाँच सकें।
सुरक्षा की गलत सेटिंग: OWASP Secure Headers Project के हेडर, HTTPS, कुकी फ़्लैग, और खुली .env, .git व source map फ़ाइलें।
कोड में लिखी गोपनीय जानकारी: वह JavaScript जिसे आपकी साइट हर विज़िटर को भेजती है, उसमें मौजूद सीक्रेट की।
axe-core के ऑटोमैटिक एक्सेसिबिलिटी नियम। ऑटोमैटिक टूल कुछ समस्याएँ पकड़ते हैं, सभी नहीं।
मोबाइल प्रोफ़ाइल पर Lighthouse लैब रन से LCP और CLS। INP की जगह Total Blocking Time, क्योंकि INP सिर्फ़ असली विज़िटर से बनता है।
सार्वजनिक DNS से पढ़े गए ईमेल प्रमाणीकरण रिकॉर्ड (RFC 7208, 6376, 7489)।
ये संदर्भ हैं, सर्टिफ़िकेशन नहीं। साफ़ स्कैन का मतलब यह नहीं कि आपका ऐप इनमें से किसी का पालन करता है।
PlaywrightApache-2.0
आपकी साइट को असली ब्राउज़र में खोलता है, जैसे कोई विज़िटर।
LighthouseApache-2.0
स्पीड और SEO ऑडिट।
axe-coreMPL-2.0
एक्सेसिबिलिटी नियम।
GitleaksMIT
हमारे सीक्रेट-की पैटर्न का एक हिस्सा इसके नियमों से लिया गया है।
हाँ। मुफ़्त स्कैन वही करता है जो एक आम ब्राउज़र करता है: आपके पेज लोड करता है, सार्वजनिक कोड पढ़ता है और DNS रिकॉर्ड देखता है। यह लॉगिन नहीं करता, फ़ॉर्म नहीं भेजता और हमले जैसा ट्रैफ़िक नहीं भेजता। गहरी जाँचें, जैसे डेटाबेस नियमों की जाँच, तभी चलती हैं जब आप साबित करते हैं कि ऐप आपका है।
नहीं। स्कैन सार्वजनिक लिंक से चलता है, वैसे ही जैसे कोई विज़िटर आपका ऐप खोलता है। हम कभी आपका पासवर्ड या कोड नहीं माँगते।
कोई भी सार्वजनिक वेबसाइट या वेब ऐप, चाहे वह किसी भी तरह बना हो, और Telegram बॉट (बीटा)। हम उन समस्याओं पर खास ध्यान देते हैं जो Lovable, Bolt, Replit, v0, Cursor और Base44 से बने ऐप्स में आम हैं, जो अक्सर Supabase, Firebase और Stripe पर चलते हैं। हम सरकारी, बैंकिंग, स्वास्थ्य या शिक्षा संस्थानों की साइटें स्कैन नहीं करते।
हम सिर्फ़ पहले 6 अक्षर और key का प्रकार रखते हैं, जितना पहचानने के लिए काफ़ी हो। पूरी key कभी सेव या दिखाई नहीं जाती। हम डेटा कैसे संभालते हैं।
आमतौर पर 30 से 90 सेकंड। आप हर क्षेत्र की जाँच होते देख सकते हैं।