ผลิตภัณฑ์ที่ทำด้วย Vibe Coding พร้อมให้ผู้ใช้จริงหรือยัง? เช็กลิสต์ก่อนเปิดตัว

คุณสร้างผลิตภัณฑ์ด้วย Lovable, Bolt, Cursor หรือ Claude มันใช้งานได้บนหน้าจอของคุณ และผู้ใช้กลุ่มแรกกำลังรออยู่ นี่เป็นความสำเร็จที่แท้จริง เครื่องมือ AI ทำให้ผู้ก่อตั้งสร้างได้ในไม่กี่วันสิ่งที่เคยใช้เวลาหลายเดือน แต่ “ใช้งานได้ตอนเดโม” กับ “พร้อมสำหรับผู้ใช้จริงและข้อมูลจริง” ไม่ใช่เรื่องเดียวกัน เช็กลิสต์นี้คือสิ่งที่เราตรวจเป็นอย่างแรกเมื่อผู้ก่อตั้งถามว่าผลิตภัณฑ์ที่สร้างด้วย AI พร้อมเปิดตัวหรือยัง

คำตอบสั้นๆ

ผลิตภัณฑ์ที่ทำด้วย vibe coding มักพร้อมสำหรับการโชว์ แต่บ่อยครั้งยังไม่พร้อมให้ไว้วางใจกับข้อมูลลูกค้าหรือการชำระเงิน ช่องโหว่แทบไม่เคยอยู่ในสิ่งที่คุณมองเห็น แต่อยู่ในสิ่งที่เกิดขึ้นเมื่อมีคนใช้งานในแบบที่คุณไม่ได้ทดสอบ เช่น ผู้ใช้ที่แก้ ID ในแถบที่อยู่ คีย์ที่รั่วไหล การชำระเงินที่ล้มเหลว หรือฐานข้อมูลที่ไม่มีแบ็กอัป ตรวจตามเช็กลิสต์ด้านล่างก่อนเปิดตัว หรือให้คนที่ทำเป็นช่วยตรวจ

1. Secret และคีย์

• เปิดเว็บไซต์จริงของคุณ ดู source แล้วค้นหาคำว่า “key”, “secret” และ “token” API key ของผู้ให้บริการชำระเงิน โมเดล AI หรือบริการอีเมล ต้องไม่อยู่ในโค้ดที่รันบนเบราว์เซอร์เด็ดขาด
• เก็บไว้ใน environment variable บนเซิร์ฟเวอร์ และเปลี่ยนคีย์ใหม่ (rotate) ทุกตัวที่เคยอยู่ในเบราว์เซอร์หรือใน repository สาธารณะ
• ตั้งวงเงินใช้จ่ายและการแจ้งเตือนบน API ที่คิดเงิน เพื่อไม่ให้คีย์ที่รั่วหรือลูปที่วนไม่หยุดสร้างบิลก้อนใหญ่ข้ามคืน

2. ใครเห็นอะไรได้บ้าง

• ล็อกอินเป็นผู้ใช้ทดสอบหนึ่งคน แล้วลองเปิดข้อมูลของผู้ใช้อีกคนโดยแก้ ID ใน URL หรือใน request ถ้าทำได้ แปลว่าลูกค้าทุกคนเห็นข้อมูลของลูกค้าคนอื่นได้
• ถ้าคุณใช้ Supabase ตรวจให้แน่ใจว่าเปิด Row Level Security ในทุกตาราง พร้อม policy ที่ตรงกับว่าใครควรอ่านและเขียนแต่ละแถว หากไม่มี ใครก็ตามที่มี public key ของคุณจะ query ตารางได้
• ตรวจว่าหน้าและการกระทำของแอดมินถูกป้องกันที่ฝั่งเซิร์ฟเวอร์ ไม่ใช่แค่ซ่อนไว้ในหน้าตาของแอป

3. การชำระเงิน

• อย่าเชื่อราคาหรือสถานะ “paid” ที่ส่งมาจากเบราว์เซอร์ ราคาต้องกำหนดที่เซิร์ฟเวอร์ และคำสั่งซื้อต้องยืนยันด้วย webhook ของผู้ให้บริการชำระเงิน โดยตรวจสอบ signature
• ทดสอบการชำระเงินที่ล้มเหลว การคืนเงิน และการคลิกซ้ำสองครั้งใน test mode ของผู้ให้บริการ ไม่ใช่ทดสอบแค่กรณีที่ทุกอย่างราบรื่น

4. ข้อมูลและแบ็กอัป

• ตรวจให้แน่ใจว่าฐานข้อมูลถูกแบ็กอัปอัตโนมัติ และลองกู้คืนแบ็กอัปสักครั้งเพื่อพิสูจน์ว่าใช้ได้จริง
• รู้ว่าข้อมูลของคุณถูกเก็บที่ไหนและใครเข้าถึงได้ ลูกค้าจะถาม และกฎหมายก็จะถามเช่นกัน

5. เมื่อมีบางอย่างพัง

• เพิ่ม error tracking เพื่อให้คุณเห็นข้อผิดพลาดที่ผู้ใช้เจอ แทนที่จะรู้อีกหลายวันต่อมา
• เพิ่ม uptime monitoring สำหรับเว็บไซต์และขั้นตอนสำคัญที่สุด เช่น การสมัครสมาชิกและการชำระเงิน
• ทดสอบด้วยข้อมูลปริมาณใกล้เคียงของจริง หน้าที่เร็วเมื่อมีสิบรายการ อาจ timeout เมื่อมีหมื่นรายการ

6. พื้นฐานด้านความเป็นส่วนตัวและกฎหมาย

• นโยบายความเป็นส่วนตัวที่บอกว่าคุณเก็บอะไรและเพราะอะไร และการขอความยินยอมเรื่องคุกกี้ในกรณีที่การวิเคราะห์หรือโฆษณาต้องใช้
• หากมีผู้ใช้ในสหภาพยุโรป GDPR จะมีผลบังคับใช้ ส่วนในประเทศไทยคือ PDPA ทั้งสองฉบับให้สิทธิผู้ใช้เหนือข้อมูลของตน เช่น สิทธิเข้าถึงและสิทธิลบข้อมูล

7. คุณพัฒนาต่อได้ไหม?

• โค้ดอยู่ใน repository ที่คุณเป็นเจ้าของ เช่น GitHub หรือไม่ และคุณ deploy ได้โดยไม่ต้องพึ่งเครื่องมือที่สร้างมันขึ้นมาหรือเปล่า
• นักพัฒนาคนอื่นอ่านเข้าใจไหม โค้ดที่ AI สร้างมักมีตรรกะเดียวกันซ้ำอยู่หลายที่ ทำให้ทุกการแก้ไขในภายหลังช้าลงและเสี่ยงขึ้น
• ขั้นตอนสำคัญ เช่น การสมัครสมาชิก การล็อกอิน และการชำระเงิน มีเทสต์อัตโนมัติครอบคลุมอย่างน้อยบางส่วนหรือไม่

เช็กตัวเองแบบเร็ว

คำถาม	พร้อมแล้ว	ยังไม่พร้อม
secret key ทั้งหมดอยู่ที่เซิร์ฟเวอร์เท่านั้นหรือไม่	ใช่ และ rotate แล้ว	บางตัวอยู่ในโค้ดฝั่งเบราว์เซอร์
ผู้ใช้เห็นได้เฉพาะข้อมูลของตัวเองหรือไม่	ทดสอบด้วยสองบัญชีแล้ว	ยังไม่ได้ทดสอบ
การชำระเงินยืนยันโดยผู้ให้บริการหรือไม่	Webhook ที่ตรวจ signature แล้ว	เบราว์เซอร์เป็นคนบอกว่า “paid”
มีแบ็กอัปที่ทดสอบแล้วหรือไม่	กู้คืนสำเร็จอย่างน้อยหนึ่งครั้ง	ไม่ทราบ
คุณจะรู้ไหมเมื่อระบบพัง	มี error tracking และ uptime alert	รอให้ผู้ใช้มาบอก
คุณเป็นเจ้าของโค้ดหรือไม่	อยู่ใน repository ของเราเอง	อยู่แค่ในเครื่องมือ AI

ก้าวต่อไป

เริ่มจากการสแกนเว็บไซต์จริงของคุณฟรีด้วย EngineeringScore เครื่องมือตรวจสอบของเราเอง ซึ่งให้คะแนนด้านความปลอดภัย ประสิทธิภาพ SEO การเข้าถึง และความเสถียร พร้อมรายการสิ่งที่ควรแก้เรียงตามลำดับความสำคัญ เครื่องมือนี้มองไม่เห็นภายในโค้ดหรือฐานข้อมูลของคุณ ดังนั้นสำหรับประเด็นข้างต้น ยังต้องมีนักพัฒนามาตรวจ เราทำให้ในรูปแบบโปรเจกต์ขนาดเล็ก คิดเป็นรายวัน หรือผ่าน บริการช่วยเหลือฉุกเฉิน เมื่อมีเรื่องเร่งด่วนอยู่แล้ว เราชอบผลิตภัณฑ์ที่สร้างด้วย AI และเราเองก็ใช้เครื่องมือเหล่านี้ทุกวัน เพียงแต่เราดูแลให้มันพร้อมสำหรับคนที่จะพึ่งพามัน