Vibe coding

Comece um projeto

1. Crie um projeto no console e copie a URL e as chaves do ambiente develop. O quickstart do seu framework mostra onde cada uma vai.

2. Salve o prompt para agentes como regra do projeto, para toda conversa começar com ele:

   Ferramenta	Onde
   Cursor	.cursor/rules/
   Claude Code	CLAUDE.md
   Codex e outros agentes	AGENTS.md
   ChatGPT, Claude	Instruções do projeto

3. Peça uma funcionalidade por vez e rode antes de pedir a próxima.

Prompts por funcionalidade

Cada um aponta o assistente para a página que documenta a funcionalidade. Troque as partes entre sinais de menor e maior.

Crie cadastro, login e recuperação de senha no meu app <framework>. Siga
https://www.nulvless.com/pt/llms.mdx/docs/guides/sign-up/content.md e
https://www.nulvless.com/pt/llms.mdx/docs/sdk/auth/content.md.

Adicione login com Google e GitHub, com uma rota /callback. Siga a seção
authorize de https://www.nulvless.com/pt/llms.mdx/docs/sdk/auth/content.md e
me diga o que habilitar e colocar na allowlist no console.

Proteja todas as páginas sob /app e verifique permissões nas minhas rotas de
API. Siga https://www.nulvless.com/pt/llms.mdx/docs/sdk/events/content.md e
https://www.nulvless.com/pt/llms.mdx/docs/guides/authorization/rbac/content.md.

Permita que o dono de uma organização convide membros por e-mail e que eles
aceitem em /join. Siga
https://www.nulvless.com/pt/llms.mdx/docs/guides/authorization/invitations/content.md.

Crie uma página de segurança em que o usuário ativa um app autenticador e
recebe códigos de recuperação. Siga
https://www.nulvless.com/pt/llms.mdx/docs/guides/mfa/content.md e
https://www.nulvless.com/pt/llms.mdx/docs/guides/sudo/content.md.

Envie o template de e-mail "<slug>" a partir do meu servidor quando <evento>.
Siga https://www.nulvless.com/pt/llms.mdx/docs/guides/communications/content.md.

Nunca exponha no cliente

Qualquer coisa num bundle de navegador pode ser lida por qualquer pessoa. Só a chave publicável (pk-…) foi feita para ir junto com o app.

• Chave secreta (sk-…) — só em variáveis de ambiente do servidor, nunca com prefixo NEXT_PUBLIC_ ou VITE_, nunca commitada.
• Segredos de provedores — client secrets de OAuth, credenciais de e-mail e SMS, o segredo do captcha. Ficam no console, não no seu código.
• Tokens e códigos de uso único — nunca em log, nunca em URL.

Se uma chave secreta vazar, troque-a como descrito em Chaves de API.

Revise o que o assistente escreveu

• Nenhum sk- ou variável secreta em código que chega ao navegador.
• createServerClient só em arquivos de servidor.
• Todo error de { data, error } é tratado.
• Permissões são verificadas no servidor, não escondendo botões.
• Todo método chamado existe na referência do SDK.