통합 보안

Lovable이 통합 자격증명을 저장하고 보호하는 방식과 커넥터 트래픽을 보호하는 gateway, IP allowlisting, 도메인 제한을 설명합니다.

이 페이지는 Lovable이 통합 자격증명을 저장하고 보호하는 방식과 커넥터 트래픽에 적용되는 보안 제어, 즉 connector gateway, 아웃바운드 IP allowlisting, 도메인 제한을 다룹니다.

자격증명(Credentials)

접근 및 권한

모든 연결 토큰은 암호화되어 저장됩니다. credential이 한번 저장되면 누구도 다시 직접 읽을 수 없습니다. workspace 멤버도, workspace 관리자도, Lovable AI 에이전트도 마찬가지입니다.

각 프로젝트는 2개의 추상 키를 받습니다. 프로젝트를 고유하게 식별하는 LOVABLE_API_KEY와 연결마다 하나씩 주어지는 키입니다. 이 연결 키는 모든 secret을 캡슐화하고 하나의 프로젝트가 connector gateway에 도달하도록 허용하는 불투명한(opaque) 키입니다. 앱과 에이전트는 이 키로 커넥터를 호출하며 그 아래의 토큰은 Lovable의 secret store에 남아 있습니다.

일부 secret은 프로젝트 안과 에이전트에서 보일 수 있습니다. secret이 public으로 표시된 경우(예를 들어 브라우저용으로 의도된 publishable key)나 커넥터가 gateway를 거치지 않는 경우에 해당합니다. gateway 커넥터는 모든 credential을 Lovable 측에 두며 프로젝트에 절대 노출하지 않습니다.

데이터 보존 및 삭제 정책

연결이 삭제되는 즉시 secret은 workspace에서 삭제됩니다. workspace 전체가 삭제되면 그 secret은 grace period가 지난 후 제거됩니다.

만료되었거나 사용하지 않는 연결은 자동으로 삭제되지 않습니다. 더 이상 필요하지 않은 연결은 직접 제거하세요.

회전(Rotation)

credential이 유출되면 각 프로젝트의 LOVABLE_API_KEY를 rotation할 수 있습니다. rotation 이후에도 캐싱에 따라 이전 키가 최대 1시간 동안 유효할 수 있습니다.

게이트웨이 커넥터

대부분의 앱 커넥터는 Lovable 앱과 서드파티 서비스 사이의 secure gateway를 거칩니다. 특정 커넥터가 gateway를 거치는지 확인이 필요하면 Lovable support에 문의하세요.

gateway는 다음 기능을 제공합니다.

• 인증이 자동으로 처리됩니다. gateway가 OAuth를 관리하고 만료되는 토큰을 백그라운드에서 갱신하므로 한번 연결되면 수동 재인증 없이 통합이 계속 동작합니다.
• credential이 프로젝트에 절대 노출되지 않습니다. 토큰은 gateway에 안전하게 저장되며 프로젝트 설정에서 보이지 않고 workspace 관리자도 접근할 수 없습니다. 앱이 커넥터를 호출하고 인증은 보이지 않는 곳에서 처리됩니다.
• 프로젝트별 사용량 한도가 있습니다. gateway 커넥터는 커넥터당 프로젝트당 분당 최대 1,000 요청을 허용합니다. 각 프로젝트는 독립적인 한도를 가지므로 한 프로젝트의 사용량이 다른 프로젝트에 영향을 주지 않습니다. 대부분의 앱은 이 임계값에 근접하지 않지만 대용량 자동화나 잦은 백그라운드 작업을 만든다면 이 한도를 염두에 두고 설계하세요.
• 아웃바운드 트래픽은 안정적인 IP 범위를 사용합니다. gateway 기반 커넥터의 요청은 allowlist에 등록할 수 있는 고정된 IP 범위에서 Lovable을 떠납니다. 범위는 IP allowlisting을 참조하세요.

gateway를 사용하지 않는 앱 커넥터는 직접 API 키나 Lovable이 관리하는 credential을 통하는 등 다르게 인증할 수 있습니다. 위에 나열한 기능은 gateway 기반 커넥터에만 적용됩니다.

IP allowlisting

gateway 기반 커넥터에서 서드파티 서비스로 가는 요청은 고정된 IP 범위에서 Lovable을 떠납니다. 파트너와 엔터프라이즈 고객은 방화벽이나 IP 제한 API를 통해 Lovable 커넥터 트래픽을 허용하도록 이 범위를 allowlist에 등록할 수 있습니다.

• IPv4: 185.41.150.0/25
• IPv6: 2a07:8241:fca::/48

도메인 제한

일부 커넥터와 서드파티 서비스는 키를 특정 도메인 집합으로 제한하도록 허용합니다(referrer, origin, HTTP referrer 제한이라고도 함). Logo.dev나 Google Maps Platform 브라우저 키처럼 앱의 프런트엔드 코드에서 키가 사용될 때 도메인 제한은 키가 동작하는 위치를 한정하여 다른 곳에서 재사용되지 못하게 합니다.

도메인 제한을 지원하는 키나 시스템에는 Lovable이 앱을 제공하는 도메인을 추가하세요.

• *.lovable.app/*
• *.lovable.dev/*
• *.lovableproject.com/*
• your production domain

이들은 Lovable의 모든 환경을 커버합니다. 앱이 custom domain에서 제공된다면 그 도메인도 목록에 추가하세요.