# Seu app está pronto para lançar? O checklist do dono, não do programador
Equipe iatize · 2026-08-25 · 10 min de leitura

> **Resumo.** Um checklist de lançamento não é uma lista de qualidade: é a lista do que é barato agora e caro depois. Sete itens travam o lançamento — um cliente não pode ver o dado de outro, existe backup já restaurado uma vez, as contas e o domínio estão no seu nome, existe um caminho para o cliente pedir a exclusão dos dados (exigência da LGPD que 59% dos 69 apps brasileiros escaneados pela iatize não cumprem), a política de privacidade descreve o que você realmente faz, o e-mail do seu domínio chega, e alguém é avisado quando o app cai. Certificação, auditoria externa, lojas e pentest não travam nada.

URL: https://www.iatize.tech/blog/checklist-antes-de-lancar-seu-app

Existem dois jeitos de errar o lançamento e os dois custam caro. Um é apertar o botão com medo, torcendo para ninguém olhar de perto. O outro é nunca apertar: adiar por mais uma semana, que vira mais um mês, que vira o trimestre inteiro. Os dois nascem do mesmo lugar — ninguém nunca te disse o que exatamente precisava estar pronto.

Aviso de honestidade, e aqui ele é duplo: a iatize constrói apps e também vende verificação de segurança — um scan gratuito no site e pentest humano a partir de R$5.000. Temos interesse dos dois lados, tanto em você lançar quanto em você contratar checagem. Justamente por isso este checklist separa o que trava o lançamento do que pode esperar, e o que pode esperar inclui o serviço mais caro que a gente vende.

## Checklist de lançamento não é checklist de qualidade

A pergunta certa não é “está bom o suficiente?”. Nunca vai estar, e essa pergunta não tem resposta. A pergunta é: o que fica dez vezes mais caro se eu deixar para depois de ter usuários? Só duas coisas entram nessa conta. O que é irreversível — dado vazado não volta, cliente que perdeu a confiança também não. E o que depende da fundação, porque mexer na estrutura com gente morando dentro custa muito mais do que antes de abrir a porta.

Tudo que não é irreversível nem estrutural pode esperar a semana seguinte ao lançamento — e vai ser resolvido melhor lá, porque aí você terá gente usando e vai saber o que realmente importa.

Uma distinção que vale fazer antes de continuar: nós já publicamos as 10 perguntas para você avaliar quem constrói o seu app. Aquilo é sobre julgar o fornecedor. Isto aqui é sobre julgar uma data — o que você mesmo consegue conferir hoje para decidir se abre ou não abre a porta.

## Os 7 itens que travam o lançamento

1. Um cliente não consegue ver o dado de outro. É o furo mais comum e o mais grave. O teste: crie duas contas, coloque uma informação em uma e tente chegar nela pela outra. Se a proteção que te descreverem for “o botão não aparece”, não é proteção — é um botão escondido.
2. Existe backup e alguém já restaurou pelo menos uma vez. Pergunte: de quando é o último backup, e quem já testou trazer ele de volta? Se a resposta não tiver data, você não tem backup, tem intenção de backup.
3. As contas e o domínio estão no seu nome. É o único item da lista que não exige trabalho técnico: exige insistência. E depois do lançamento, com o produto rodando e clientes dentro, fica bem mais difícil parar tudo para transferir titularidade.
4. Existe um caminho para o cliente pedir a exclusão dos dados dele, e alguém do outro lado responde. A LGPD dá esse direito ao titular, e nos 69 apps brasileiros que escaneamos, 59% não ofereciam nenhum caminho. Não precisa ser um botão automático no primeiro dia: precisa ser um canal que funciona, com prazo e com um responsável.
5. A política de privacidade e os termos descrevem o que você realmente faz. Copiar de outro site é pior do que não ter: você passa a prometer por escrito coisas que o seu produto não cumpre. E se o site usa cookies ou rastreamento, o aviso precisa estar lá — 40% dos apps que escaneamos não tinham banner nenhum.
6. O e-mail do seu domínio chega de verdade. Parece assunto de marketing e é assunto de lançamento: se a confirmação de cadastro cai no spam, o cliente conclui que o app está quebrado e vai embora sem reclamar. Nos mesmos 69 apps, 57% não tinham SPF nem DMARC configurados no domínio.
7. Alguém é avisado quando o app cai. Não precisa de central de monitoramento: precisa de um aviso automático chegando em alguém que consiga agir. Descobrir a queda pelo cliente reclamando é o pior jeito possível, e é como a maioria descobre.

> **O teste de 20 minutos que você faz sozinho.** Sem ninguém técnico, no seu próprio celular. Crie duas contas e tente ver o dado de uma pela outra. Cadastre-se com um e-mail seu e confira se a mensagem chega — e se cai em spam. Procure no seu próprio site como pedir a exclusão dos dados, como se você fosse um cliente irritado. Saia da conta e cole um link interno direto na barra do navegador para ver se ele te barra. Se algum desses quatro falhar, você achou um item de lançamento antes que o cliente achasse.

## O que NÃO trava o lançamento

Esta lista existe para você parar de adiar por coisas que não sustentam o adiamento:

- Certificação e auditoria externa. Fazem sentido quando um cliente exige por contrato ou quando o volume justifica. Antes disso é vaidade cara.
- Pentest humano. É serviço nosso, começa em R$5.000 e não faz sentido antes de existir uso real: teste profundo em produto sem usuário testa hipótese, não realidade.
- Publicação nas lojas. Dá para lançar em web e publicar depois, quando houver demanda que justifique as contas de desenvolvedor e o processo de revisão.
- Performance para dez mil pessoas. Se você tem dez, otimizar agora é gastar hoje o dinheiro que resolveria um problema real.
- Design perfeito, multi-idioma, painel de métricas bonito. Tudo isso melhora depois, com informação de uso.
- Todas as funcionalidades da sua lista. Se a jornada principal fecha do início ao fim, o resto é fase 2.

## Quando você está travando sem motivo

Seria conveniente para quem vende segurança te deixar com medo. Então vamos ao contrário:

- Se o produto ainda não guarda dado pessoal de ninguém — protótipo, demonstração, ferramenta interna usada por três pessoas do seu time — a maior parte desta lista não se aplica. Não invente trabalho para se sentir preparado.
- Se você já adiou mais de uma vez pelo mesmo motivo vago, do tipo “não está redondo”, o motivo provavelmente não é técnico. Marque a data.
- Se a sua lista de pendências não contém nenhum dos 7 itens acima, você não está inseguro: está aperfeiçoando. Aperfeiçoar sem usuário é chutar no escuro com capricho.
- E o oposto também é erro: deixar segurança inteira para depois queima confiança, mas buscar segurança infinita antes de ter cliente queima o dinheiro que você precisa para conseguir cliente. Os 7 itens são o meio-termo.

> **Lançar para dez pessoas não é lançar.** É ensaio geral, e ele resolve boa parte do medo. Convide dez pessoas que você conhece, avise que é a primeira versão e peça que tentem completar a jornada principal sozinhas. Em dois dias você descobre o que descobriria em dois meses ajustando sozinho — e nenhuma delas vai te processar por um botão torto. Os 7 itens continuam valendo, porque mesmo dez conhecidos são dez pessoas com dados de verdade.

**Leia também**
- [Seu app é seguro? As 10 perguntas para fazer a quem constrói](/blog/app-seguro-10-perguntas)
- [Vazou uma chave sk-proj da OpenAI: o que fazer agora](/blog/vazou-chave-sk-proj-openai)
- [Criar app com IA sem programar: até onde o vibe coding vai](/blog/criar-app-com-ia-sem-programar)
- [Por que seu e-mail não chega: SPF, DKIM e DMARC em português](/blog/email-prospeccao-nao-chega)

Três dos sete itens — cookies, e-mail do domínio e parte da exposição do seu endereço — dão para conferir de fora, sem mexer no seu produto. É o que o nosso scan gratuito faz: você coloca o endereço do app e recebe o que está faltando, item por item.

[Rodar o scan gratuito do meu app](/security)

E se o que trava não é a checagem e sim decidir o que ainda falta construir antes de abrir, o diagnóstico leva cerca de 1 minuto e termina com uma direção concreta — inclusive quando ela for que você já podia ter lançado semana passada.

[Fazer meu diagnóstico gratuito](/quiz)

## Perguntas frequentes

### Como saber se meu app está pronto para lançar?

Confira sete itens: um cliente não consegue ver o dado de outro; existe backup e alguém já restaurou uma vez; as contas e o domínio estão no seu nome; existe um caminho para o cliente pedir a exclusão dos dados dele; a política de privacidade descreve o que você realmente faz; o e-mail do seu domínio chega sem cair em spam; e alguém é avisado quando o app cai. Se nenhuma das suas pendências está nessa lista, você não está inseguro — está aperfeiçoando.

### O que verificar antes de publicar um aplicativo?

Faça o teste de 20 minutos sozinho, sem ninguém técnico: crie duas contas e tente ver o dado de uma pela outra; cadastre-se com um e-mail seu e veja se a mensagem chega; procure no próprio site como pedir a exclusão dos dados, como faria um cliente irritado; e, deslogado, cole um link interno na barra do navegador para ver se o sistema te barra. Cada falha aí é um item de lançamento que você achou antes do cliente.

### O que a LGPD exige de um aplicativo que guarda dados de clientes?

Entre outras coisas, que o titular consiga pedir acesso e exclusão dos próprios dados, e que você diga com clareza o que coleta e para quê. Na prática isso significa um canal que funciona, com prazo e responsável, e uma política de privacidade que descreve o produto real. É a falha mais comum que medimos: entre os 69 apps brasileiros escaneados pela iatize, 59% não ofereciam nenhum caminho de exclusão. A responsabilidade é da empresa que coleta, não do fornecedor que construiu.

### Meu app precisa de política de privacidade e termos de uso?

Precisa, a partir do momento em que guarda qualquer dado pessoal — inclusive só nome e e-mail. E precisa ser sobre o seu produto: copiar de outro site é pior que não ter, porque você passa a prometer por escrito o que não cumpre. Se o site usa cookies ou ferramentas de rastreamento, o aviso também precisa estar lá; 40% dos apps que escaneamos não tinham banner nenhum.

### Preciso de pentest antes de lançar meu app?

Na maioria dos casos, não. Pentest humano começa em R$5.000 e rende quando existe uso real, dinheiro circulando ou exigência de um cliente maior. Antes disso, ele testa hipótese em vez de realidade. O que trava lançamento é mais básico e mais barato: separação de dados entre clientes, backup testado, caminho de exclusão de dados e contas no seu nome.

### É melhor lançar rápido ou esperar o app ficar perfeito?

Lançar assim que os sete itens estiverem de pé. Perfeição sem usuário é chute no escuro com capricho: você aperfeiçoa o que imaginou, e não o que as pessoas fazem. Um bom meio-termo é o ensaio geral — abrir para dez pessoas que você conhece, avisando que é a primeira versão. Em dois dias você aprende o que levaria dois meses ajustando sozinho.