De 5 meest voorkomende fouten in vibecode-projecten

Elke app die we bekijken is anders. Maar de fouten die we tegenkomen zijn opvallend consistent. Hier zijn de vijf die we het vaakst zien, en wat je eraan kunt doen.

1. API-sleutels die zichtbaar zijn in de frontend

Dit is nummer één, en het blijft ons verbazen hoe vaak het voorkomt.

Een API-sleutel voor OpenAI, Stripe of een andere dienst zit in de frontend-code. Iedereen die de broncode van je pagina bekijkt, kan die sleutel zien en gebruiken. Op jouw kosten.

De fix: API-sleutels horen in omgevingsvariabelen op de server, niet in de browser. Nooit.

2. Iedereen kan elkaars data inzien

De app heeft inloggen. Prima. Maar als je de URL van een andere gebruiker raadt, of het ID iets aanpast, zie je soms gewoon de data van iemand anders.

Dit heet een IDOR-kwetsbaarheid. AI bouwt de authenticatie, maar vergeet soms de autorisatie. Controleer niet alleen of je ingelogd bent, maar ook of jij dit specifieke record mag zien.

De fix: Altijd checken of de ingelogde gebruiker eigenaar is van de data die hij opvraagt.

3. Geen foutafhandeling bij betalingen

De betaalflow werkt als alles goed gaat. Maar wat als de betaling mislukt halverwege? Of als de webhook niet aankomt? Of als de gebruiker twee keer op “betaal” klikt?

In veel apps: niets. De gebruiker krijgt geen foutmelding, de bestelling hangt ergens in een limbo, en jij weet het niet.

De fix: Bouw expliciet voor het geval dat iets misgaat. Wat ziet de gebruiker? Wat logt je systeem? Hoe herstel je?

4. Gebruikersdata die overblijft na verwijdering

Iemand verwijdert zijn account. De profielpagina verdwijnt. Maar in de database staat zijn naam, e-mailadres en alle activiteitsdata nog gewoon.

Onder de AVG is dit een probleem. En het is niet alleen juridisch, het is ook een vertrouwenskwestie.

De fix: Een echte verwijderprocedure die alle data aanpakt: auth, profiel, logs, uploads.

5. Geen enkele vorm van monitoring

De app gaat live. En daarna: stilte. Er is geen systeem dat je vertelt als de app down is, als er een fout optreedt, of als er iets ongewoons gebeurt.

Je weet pas dat er een probleem is als een klant je belt. En tegen die tijd is het probleem er al een tijdje.

De fix: Zet Sentry in voor foutmeldingen en Uptime Robot voor beschikbaarheid. Dat kost een halfuurtje en is gratis.

---

Herken je een of meer van deze punten in jouw app? Dan ben je niet de enige, en is er gelukkig ook iets aan te doen.

Een vibecodecontrole gaat door al deze punten heen en geeft je een concreet overzicht van wat er aandacht nodig heeft.