Lista de verificação de 23 pontos para apps de vibe coding antes do primeiro pagamento

Antes de que seu app de vibe coding aceite o primeiro pagamento, peça a um agente de IA para verificar estes 23 pontos:

1. Existe um único documento com o design system, e todas as cores, tamanhos de fonte e espaçamentos seguem esse documento.
2. Há telas separadas para cada estado: carregamento, sem dados e erro.
3. As chaves privadas ficam apenas no servidor. Arquivos de frontend e o histórico do Git são verificados para detectar vazamentos, e todas as chaves já expostas são rotacionadas.
4. Cada endpoint de API verifica autorização e direitos de acesso no servidor. O banco de dados tem RLS (Row Level Security) ativado.
5. Para todos os serviços com cobrança por uso, como IA, SMS e e-mail, há limites de gasto ou alertas configurados.
6. Webhooks de pagamento verificam a assinatura, e a notificação repetida do mesmo pagamento não gera registro duplicado.
7. Reembolsos, cancelamentos e cobranças malsucedidas são testados em modo de teste. Cada cenário é executado uma vez e termina com o status correto.
8. Após o fim do período de teste ou da assinatura, o acesso é revogado no tempo certo.
9. Ao passar de pagamentos de teste para produção, as chaves de API de produção e o segredo de assinatura do webhook são reconfigurados.
10. Valores monetários são armazenados como inteiros na menor unidade da moeda, como no Stripe. Nada de números de ponto flutuante: em JavaScript, 0.1 + 0.2 não é igual a 0.3.
11. Um duplo clique no botão de envio cria apenas um pedido.
12. O imposto sobre vendas ou IVA está configurado para os países onde você vende o produto.
13. Os termos de uso e a política de privacidade correspondem ao funcionamento real do app.
14. Há backup automático diário configurado. O plano gratuito do Supabase não inclui isso, então é preciso migrar para Pro ou configurar seus próprios dumps. Também é necessário testar uma vez a restauração em um novo banco.
15. Para cada migração do schema do banco de dados, há SQL de rollback preparado. A migração e o rollback são testados em uma cópia dos dados de produção.
16. Listas com mais de 1.000 registros não são truncadas silenciosamente. Por padrão, a API do Supabase retorna até 1.000 linhas.
17. A hora é armazenada como timestamptz, e o fuso horário de cada usuário é registrado em uma coluna separada para que lembretes cheguem no horário local.
18. Primeiro usa-se soft delete, e o RLS oculta também os registros excluídos. Quando uma conta é excluída, os dados do usuário são removidos definitivamente.
19. Os usuários podem exportar seus próprios dados.
20. Nomes com apóstrofos, emojis ou texto da direita para a esquerda não causam erros nos campos de entrada.
21. As imagens usam formatos WebP ou AVIF, e o conteúdo abaixo da área visível é carregado conforme o scroll.
22. Índices são criados para os campos mais filtrados. Com dezenas de registros de teste tudo pode parecer rápido, mas com volumes reais de dados surgem lentificações.
23. O monitoramento de erros está conectado para que você descubra problemas antes dos usuários.

Envie toda essa lista ao seu agente e adicione ao final o seguinte prompt. O agente verificará cada item e apresentará os resultados em uma tabela:

Distribua a verificação entre cinco subagentes nas seguintes áreas:

1. Design e desempenho.
2. Segurança.
3. Pagamentos.
4. Dados.
5. Funcionamento do app após o lançamento.

Verifique todos os itens sem alterar nada. Para cada item, indique se passou ou falhou, e o arquivo onde o problema foi encontrado.

Se algo só puder ser verificado pelo painel de controle de um serviço, marque o item como «Requer minha confirmação» e forneça instruções passo a passo para verificação manual.

Teste backup e restauração apenas em um banco de dados de teste, e pagamentos exclusivamente em modo de teste. Não altere dados de produção.

Primeiro mostre a tabela de resultados e não corrija nada até que eu confirme.