BitBiz

,

Lovable i Bolt: 27 z 105 formularzy nie wysyła wiadomości

Przemysław Majdak

Automatyczne generatory stron internetowych Lovable i Bolt masowo serwują użytkownikom fałszywe potwierdzenia wysłania wiadomości. Badanie zespołu Formgong przeprowadzone na 793 serwisach wykazało, że aż 27 z 105 aktywnych formularzy (25,7%) wyświetlało komunikat „Message sent!”, nie generując przy tym żadnego zapytania sieciowego. Dla firm korzystających z wygenerowanego kodu oznacza to cichą utratę leadów sprzedażowych przy braku jakichkolwiek błędów w konsoli przeglądarki.

Skala cichej awarii w generatorach kodu

Tworzenie serwisów przez platformy Lovable i Bolt pozwala na natychmiastowe wdrażanie interfejsów, lecz rodzi ryzyko nietestowanej infrastruktury backendowej. Testy przeprowadzone przez zespół Formgong na próbie 793 stron ujawniły, że 27 z 105 jednoznacznie ocenionych formularzy kontaktowych generowało komunikat sukcesu bez wysyłania jakichkolwiek danych do sieci.

Przeanalizowana przez Formgong próba obejmowała serwisy wygenerowane automatycznie, z których 119 posiadało formularze kontaktowe, a 105 pozwoliło na uzyskanie jednoznacznego wyniku technicznego. Wyniki badania rozłożyły się w następujących proporcjach:

  • 54 formularze (51,4%): pomyślnie przesłały dane do serwera docelowego za pomocą żądania sieciowego.
  • 27 formularzy (25,7%): wyświetliło potwerdzenie „Message sent!”, nie wykonując żadnego żądania w sieci.
  • 12 formularzy (11,4%): nie zareagowało w żaden widoczny sposób na kliknięcie przycisku.
  • 7 formularzy (6,7%): wywołało nagłówek mailto:, próbując otworzyć lokalnego klienta poczty.
  • 3 formularze (2,9%): przekierowało na inną podstronę bez przekazania zawartości pól.
  • 2 formularze (1,9%): odświeżyły stronę bez przesłania formularza.

Zjawisko fałszywych formularzy nie dotyczy wyłącznie wersji demonstracyjnych. Po odrzuceniu projektów typu hackathon i szablonów testowych, Formgong zbadał 73 rzeczywiste witryny komercyjne bez cech demo — aż 16 z nich (21,9%) posiadało atrapę formularza. W grupie 30 serwisów działających pod własnymi domenami biznesowymi fałszywe powiadomienie generowało 5 serwisów (16,7%).

Czy formularze na Lovable i Bolt naprawdę milczą?

Analiza kodu interfejsów wygenerowanych przez Lovable oraz Bolt wskazuje, że problem wynika ze stosowania domyślnych procedur narzędzi AI. Skrypty wysyłkowe na witrynach Lovable i Bolt często ograniczają się do symulowania opóźnienia sieciowego, wyświetlenia zielonego komunikatu oraz wyczyszczenia pól tekstowych, pomijając wywołania funkcji fetch, interfejsów API czy bazy danych.

Model językowy generujący kod na platformach Lovable i Bolt skupia się na odtworzeniu warstwy wizualnej (UI). Gdy użytkownik nie dostarczy gotowych kluczy API do usług takich jak Formgong, Resend czy SendGrid, generator tworzy zaślepkę w języku JavaScript. Przykładowa obsługa zdarzenia onSubmit na stronach z Lovable i Bolt wykonuje operację setTimeout, wywołuje komponent powiadomienia (toast) z treścią „Message sent!” i czyści pola formularza.

Element potoku danych Zachowanie na witrynach Lovable i Bolt Rzeczywisty stan techniczny
Interfejs użytkownika (UI) Wyświetlenie zielonego powiadomienia toast Wynik dodatni (200 OK w UI)
Konsola przeglądarki Brak błędów JavaScript Status poprawny
Ruch sieciowy (Network Tab) Brak żądań HTTP POST z danymi Brak transmisji danych
Powiadomienie e-mail / CRM Brak wpisu w bazie danych lub skrzynce Cicha utrata leadu

Sytuacja ta tworzy pozór poprawnego działania. Właściciel serwisu klikając przycisk na stronie zbudowanej w Lovable lub Bolt, widzi komunikat o sukcesie i uznaje integrację za zakończoną. Odwiedzający witrynę otrzymuje sygnał o przyjęciu zgłoszenia, podczas gdy zapytanie bezpowrotnie znika.

Pięć błędów w automatyzacji weryfikacji formularzy

Narzędzie weryfikacyjne stworzone przez zespół Formgong wykazało, że automatyczne testowanie formularzy na stronach Lovable i Bolt wymaga uwzględnienia nietypowych zachowań przeglądarki. Wstępne algorytmy testowe w projekcie Formgong popełniły 5 kolejnych błędów klasyfikacji, błędnie interpretując ruchem wysyłkowym analitykę, okna dialogowe, znikające komunikaty, pułapki botów oraz ukryte elementy formularzy.

Tworzenie automatycznego skryptu testującego wymagało rozwiązania następujących problemów technicznych:

  1. Ruch analityczny traktowany jako wysyłka danych: Pierwsza wersja testu uznawała każde żądanie sieciowe po kliknięciu za udaną wysyłkę. Strony Lovable wywoływały po kliknięciu pings do narzędzi Google Analytics, Clarity, Hotjar, PostHog oraz Vercel Insights, co maskowało atrapy. Formgong wprowadził wymóg obecności wpisanych wartości testowych (example.com, numer z prefiksem 555) w treści żądania.
  2. Komunikaty w oknach dialogowych alert(): Część witryn wyświetlała potwierdzenie przez natywne okno alert(), które było automatycznie zamykane przez okno testowe bez odczytania treści. Wdrożono przechwytywanie zdarzeń dialogowych przeglądarki.
  3. Znikające powiadomienia toast: Niektóre formularze na witrynach Lovable i Bolt pokazywały komunikat sukcesu przez 2–3 sekundy, po czym go usuwały z drzewa DOM. Odczyt strony po 5 sekundach kwalifikował formularz jako niedziałający, co wymusiło próbkowanie stanu strony co 250 ms.
  4. Pułapki na boty typu honeypot: Wypełnienie wszystkich pól tekstowych aktywowało niewidoczne pola zabezpieczające przed botami. Formularz zwracał wówczas status sukcesu, lecz cicho odrzucał wiadomość. Skrypt Formgong zmodyfikowano tak, aby pomijał ukryte pola tekstowe.
  5. Niewidoczne pola wyboru Radix / shadcn: Wykluczenie ukrytych pól spowodowało pomijanie natywnych elementów

Może Cię zainteresować