Vibe Coding: cos'è, come funziona e i rischi nascosti dei siti fatti con l'AI

Fino a due anni fa, per mettere online un'applicazione web servivano settimane di lavoro, un minimo di conoscenza di HTML, CSS, JavaScript e magari un backend. Oggi bastano una frase in linguaggio naturale e qualche minuto. Questo è il vibe coding: descrivi a un'intelligenza artificiale cosa vuoi costruire, e lei genera il codice, l'interfaccia e a volte anche l'infrastruttura al posto tuo.

È una rivoluzione concreta, non uno slogan. Migliaia di indie hacker, solo founder e maker stanno lanciando prodotti reali senza aver mai aperto un editor di codice "vero". Ma c'è un lato in ombra di cui si parla poco: un sito fatto con l'AI che "funziona" non è automaticamente sicuro, né a norma di legge. In questa guida vediamo cos'è davvero il vibe coding, quali strumenti si usano, perché è così potente e — soprattutto — quali sono i tre rischi più comuni che si nascondono sotto la superficie di un prodotto vibe-coded, e come passare dal prototipo alla produzione senza brutte sorprese.

Cos'è il vibe coding

Il termine "vibe coding" è stato reso popolare all'inizio del 2025 e descrive un modo di programmare in cui l'essere umano non scrive più il codice riga per riga, ma guida l'AI con istruzioni in linguaggio naturale, lasciandosi trasportare dal "vibe" — l'idea, l'intenzione, il flusso — più che dai dettagli tecnici.

In pratica funziona così: apri uno strumento, scrivi "crea una landing page per la mia app di fitness con un modulo di iscrizione e un'area riservata", e l'AI produce un'applicazione funzionante. Poi iteri a parole: "aggiungi il login con Google", "rendi il tema scuro", "collega un database per salvare gli utenti". Ogni richiesta modifica il progetto in tempo reale.

In cosa è diverso dal coding tradizionale

Nel modello classico, lo sviluppatore conosce (o dovrebbe conoscere) ogni pezzo dello stack: come sono gestite le password, dove vivono le chiavi segrete, quali endpoint sono esposti, come è configurato il server. Nel vibe coding gran parte di queste decisioni le prende l'AI, spesso in modo invisibile. Il risultato è velocissimo da ottenere, ma anche opaco: chi lo ha "costruito" frequentemente non sa cosa c'è sotto il cofano. Ed è proprio in quello spazio — tra "quello che vedo funzionare" e "quello che succede davvero" — che si annidano i problemi di sicurezza.

Come funziona: gli strumenti del vibe coding

L'ecosistema è cresciuto in fretta. Ecco i protagonisti principali e cosa fanno meglio.

La differenza chiave: strumenti come Lovable, Bolt e v0 puntano a chi ha poca o nessuna esperienza e vogliono darti un risultato "pronto", mentre Cursor assume che tu sappia (almeno un po') leggere il codice e ti fa da copilota. Replit sta nel mezzo, offrendo sia generazione sia hosting.

Da qui in avanti li chiameremo genericamente strumenti di vibe coding, perché il pattern di rischio che vedremo è comune a tutti: l'AI genera codice funzionante ottimizzato per farti vedere il risultato, non necessariamente per proteggerti.

I vantaggi reali (che spiegano l'entusiasmo)

Prima dei rischi, va detto con onestà: il vibe coding è potente e i suoi vantaggi sono concreti.

• Velocità. Un MVP che prima richiedeva settimane oggi nasce in un pomeriggio. Per validare un'idea, è un cambio di paradigma.
• Accessibilità. Chi ha competenze di marketing, design o dominio ma non di programmazione può finalmente costruire il proprio prodotto senza cercare (e pagare) uno sviluppatore.
• Costi bassi all'inizio. Un abbonamento mensile a uno strumento AI costa una frazione di un team di sviluppo.
• Iterazione rapida. Provi un'idea, la butti via, ne provi un'altra. Il costo dell'errore crolla.

Per un MVP AI pensato per raccogliere i primi feedback, tutto questo è oro. Il problema nasce quando quel prototipo, senza modifiche, diventa il prodotto in produzione con utenti reali, dati reali e — se sei in UE — obblighi legali reali.

I rischi nascosti: "funziona" non vuol dire "è sicuro"

Ecco il punto centrale di questa guida. La sicurezza nel vibe coding è il grande non-detto. L'AI è addestrata a farti arrivare a un risultato visibile: la pagina si carica, il pulsante funziona, l'utente si registra. Ma la sicurezza è per sua natura invisibile — non la vedi finché qualcuno non la sfrutta.

Un sito vibe-coded può sembrare perfetto e avere, allo stesso tempo, la chiave del database scritta in chiaro dove chiunque può leggerla. Vediamo le tre falle più diffuse.

1. Chiavi API esposte nel frontend

È il classico numero uno. Per far funzionare rapidamente l'integrazione con un servizio esterno — un database come Supabase, un servizio di pagamento, un'API di AI, un provider di email — l'AI a volte inserisce la chiave di accesso direttamente nel codice del frontend, cioè nella parte che viene scaricata ed eseguita nel browser di ogni visitatore.

Il problema: tutto ciò che sta nel frontend è pubblico. Chiunque apra gli strumenti per sviluppatori del browser (tasto F12) può leggere quella chiave. Con una chiave segreta esposta, un malintenzionato può accedere al tuo database, prosciugare il tuo credito su un servizio a pagamento o inviare email a tuo nome.

Come si riconosce

Nel codice sorgente della pagina o nelle richieste di rete compaiono stringhe come sk_live_..., service_role, o parametri chiamati api_key, secret, token. Se le vedi nel browser, sono già compromesse.

La regola è semplice: le chiavi segrete stanno solo nel backend, mai nel codice che gira nel browser. Nel frontend possono vivere unicamente le chiavi pubbliche, progettate per essere visibili, e protette da regole di accesso lato server.

2. Assenza di rate limiting e endpoint senza autenticazione

Il secondo rischio riguarda le porte d'ingresso della tua applicazione, gli endpoint (gli URL che il frontend chiama per leggere o scrivere dati).

Due problemi tipici dei siti vibe-coded:

• Nessun rate limiting. Non c'è alcun limite al numero di richieste che una singola persona può fare. Questo espone a tentativi di forzatura delle password (migliaia di tentativi al secondo), a costi fuori controllo se un endpoint chiama un servizio a pagamento, e a semplici blocchi del sito per sovraccarico.
• Endpoint accessibili senza autenticazione. L'AI crea un endpoint per, poniamo, leggere il profilo di un utente. Nella fretta di far funzionare la demo, non aggiunge il controllo che verifica chi sta chiedendo. Risultato: chiunque conosca l'URL può ottenere quei dati, senza fare login.

A questo si aggiunge un cugino stretto, i cosiddetti ID manipolabili nell'URL. Se il tuo sito mostra la fattura all'indirizzo sito.com/fattura/1043, cosa succede se un utente cambia il numero in 1044? In un'app fatta bene, il sistema verifica che quella fattura appartenga a chi la richiede. In molte app vibe-coded, invece, la mostra e basta — esponendo i dati di un altro cliente. È una delle vulnerabilità più banali da sfruttare e più comuni da trovare.

3. GDPR, cookie e privacy non a norma

Il terzo rischio non è tecnico ma legale, ed è quello che gli indie hacker sottovalutano di più. Se hai anche un solo utente nell'Unione Europea — e quasi sempre è così — sei soggetto al GDPR, indipendentemente da dove ti trovi tu.

Un sito vibe-coded tipico nasce senza nessuno degli obblighi di legge:

• Nessuna privacy policy che spieghi quali dati raccogli, perché e per quanto tempo.
• Nessun banner cookie a norma, oppure un banner che installa cookie di tracciamento prima che l'utente abbia dato il consenso — che è esattamente ciò che la legge vieta.
• Nessuna cookie policy né condizioni di servizio.
• Moduli che raccolgono email e dati personali senza informativa né base giuridica.

Le sanzioni GDPR possono essere pesanti, e per un piccolo progetto anche una segnalazione o una diffida sono un grattacapo che non ti serve. Se raccogli pagamenti o vendi online, il tema si allarga ulteriormente: vale la pena approfondire con la nostra guida al GDPR per e-commerce. Il punto è che questi documenti non sono un dettaglio da rimandare: sono parte integrante di un sito web sicuro e conforme.

Perché l'AI genera codice insicuro (non è un bug, è un incentivo)

Vale la pena capire perché succede, perché aiuta a difendersi. Gli strumenti di vibe coding sono ottimizzati per un'unica metrica: farti vedere qualcosa che funziona, il più in fretta possibile. È così che ti conquistano.

La sicurezza, invece, aggiunge attrito. Configurare l'autenticazione correttamente, gestire le chiavi in un backend, impostare i limiti di richiesta, scrivere le regole di accesso al database: sono tutti passaggi che rallentano la demo e che l'utente, spesso, nemmeno chiede. Così l'AI prende la strada più breve. Non è cattiva volontà: è l'incentivo del prodotto. Il risultato è che la responsabilità della sicurezza ricade su di te, che magari non sai nemmeno di doverla avere.

Dal prototipo alla produzione: la checklist

Il passaggio critico è quello tra "ho un prototipo che funziona" e "lo apro al pubblico". Ecco una checklist pratica prima del lancio.

1. Sposta le chiavi segrete nel backend. Nessuna chiave secret o service_role deve essere leggibile dal browser. Usa variabili d'ambiente lato server.
2. Proteggi ogni endpoint. Ogni URL che restituisce dati deve verificare l'identità di chi li chiede. Nessun dato sensibile senza autenticazione.
3. Controlla la proprietà dei dati. Prima di mostrare una risorsa (fattura, profilo, ordine), verifica che appartenga davvero all'utente autenticato. Addio ID manipolabili.
4. Imposta il rate limiting. Limita i tentativi di login e le chiamate agli endpoint costosi.
5. Aggiungi gli header di sicurezza. Header come Content-Security-Policy, X-Frame-Options e Strict-Transport-Security riducono intere classi di attacchi e spesso mancano del tutto nei siti generati con l'AI.
6. Metti in regola la parte legale. Privacy policy, cookie policy, banner con consenso preventivo, condizioni di servizio.
7. Fai un controllo di sicurezza prima di andare live. Un test è meglio di una scoperta a danno avvenuto.

Se ti stai chiedendo da dove cominciare per l'ultimo punto, abbiamo una guida dedicata su come verificare la sicurezza di un sito web passo per passo.

Un ordine di priorità

Non tutto ha la stessa urgenza. Se hai poco tempo, questa è la sequenza:

Come verificare il tuo sito in pochi minuti

La buona notizia è che non serve diventare esperti di sicurezza per scoprire questi problemi: la maggior parte delle falle da vibe coding sono ricorrenti e riconoscibili. Puoi partire manualmente, aprendo gli strumenti per sviluppatori del browser e controllando se nel frontend compaiono chiavi che sembrano segrete, oppure provando a cambiare un ID nell'URL per vedere se ottieni dati non tuoi.

Se invece vuoi una fotografia completa senza fare tutto a mano, Appurai è uno scanner nato apposta per i siti fatti con l'AI: analizza automaticamente il tuo sito e ti segnala chiavi esposte nel frontend, endpoint accessibili senza autenticazione, assenza di rate limiting, header mancanti, ID manipolabili e problemi di cookie e privacy. Il piano gratuito ti mostra quali problemi hai; i piani a pagamento aggiungono i suggerimenti su come risolverli e possono generare per te i documenti legali (privacy policy, cookie policy e condizioni) per metterti a norma. È il modo più rapido per capire se il tuo prototipo è pronto per il pubblico o se "funziona" e basta.

E se il peggio è già successo, non farti prendere dal panico: leggi la nostra guida su cosa fare se un sito è stato hackerato.

Domande frequenti

Cos'è il vibe coding in parole semplici?

Il vibe coding è un modo di creare siti e app descrivendo a un'intelligenza artificiale cosa vuoi ottenere, in linguaggio naturale, invece di scrivere il codice a mano. L'AI genera il codice e l'interfaccia al posto tuo, e tu iteri a parole. Strumenti come Lovable, Bolt.new, v0, Cursor e Replit rendono possibile costruire un prodotto funzionante anche senza saper programmare.

I siti fatti con l'AI sono sicuri?

Non automaticamente. Un sito generato con l'AI può funzionare perfettamente e avere comunque falle serie, perché questi strumenti ottimizzano per farti vedere un risultato rapido, non per proteggerti. I problemi più comuni sono chiavi API esposte nel frontend, endpoint senza autenticazione e mancata conformità al GDPR. Servono controlli specifici prima di andare online.

Quali sono i rischi più comuni del vibe coding?

I tre più frequenti sono: chiavi segrete (API) visibili nel codice del browser, endpoint accessibili senza login (inclusi gli ID manipolabili nell'URL che espongono dati di altri utenti) e l'assenza di misure di conformità come privacy policy, cookie policy e banner di consenso a norma GDPR. Spesso mancano anche il rate limiting e gli header di sicurezza.

Devo rispettare il GDPR se ho fatto il sito con l'AI da solo?

Sì. Il GDPR si applica in base a chi sono i tuoi utenti, non a come hai costruito il sito. Se anche una sola persona nell'Unione Europea usa il tuo servizio, devi avere una privacy policy, un banner cookie che chiede il consenso prima di installare tracciamenti e, se raccogli dati, una base giuridica valida. Aver usato uno strumento AI non ti esenta da nulla.

Come faccio a sapere se la mia chiave API è esposta?

Apri il tuo sito, premi F12 per aprire gli strumenti per sviluppatori del browser e controlla il codice sorgente e le richieste di rete. Se trovi stringhe che iniziano con sk_live_, contengono secret, service_role o simili, quella chiave è pubblica e va spostata immediatamente nel backend e, se possibile, revocata e rigenerata. Uno scanner automatico può individuare queste esposizioni per te.

Posso lanciare un MVP fatto con l'AI senza problemi?

Per validare un'idea con pochi utenti fidati, un MVP AI va benissimo. Il momento delicato è quando lo apri al pubblico: prima di quel passo dovresti mettere le chiavi al sicuro, proteggere gli endpoint, aggiungere il rate limiting e sistemare la parte legale. Una verifica di sicurezza pre-lancio ti evita di trasformare un prototipo brillante in una fuga di dati.

In sintesi

Il vibe coding ha democratizzato la creazione di software: idee che prima morivano per mancanza di competenze tecniche oggi diventano prodotti reali in un pomeriggio. È un cambiamento enorme e positivo. Ma la velocità ha un prezzo nascosto: gli strumenti che ti fanno arrivare al risultato in fretta lasciano a te la responsabilità della sicurezza e della conformità, e lo fanno in silenzio.

La differenza tra un maker che ce la fa e uno che finisce sui giornali per una fuga di dati non è quanto codice sa scrivere: è se ha dedicato mezz'ora, prima del lancio, a controllare che il suo "funziona" fosse anche un "è sicuro". Fai quel controllo. È la mezz'ora meglio investita di tutto il tuo progetto.