Het probleem
Vibe-tools maken het mogelijk om in een week te bouwen wat een paar jaar geleden een team van drie nodig had. Dat is fantastisch — maar het zegt niets over wat er onder de motorkap zit. De gegenereerde code, de database-instellingen, de authenticatie-flow, de cookie-melding, de e-mail-deliverability, de back-ups — al die dingen zijn er, of zijn er niet, of zijn er half. De maker weet het meestal niet.
Tot er een klant binnenkomt, een investeerder vragen stelt, of een datalek het bedrijf op de voorpagina zet. Wij willen dat moment voor zijn.
Wat we leveren
We auditen vibe-coded applicaties, herstellen wat moet, en bewaken dat het zo blijft. Voor lichtere checks doen we dat met een vaste prijs en een duidelijke scope. Voor diepere engagements praten we eerst — daar past geen vaste prijs op.
Achter vibevavo zit ruim 25 jaar werk aan productie-applicaties — systemen waar fouten direct geld of klanten kosten. Tegelijk bouwen we zelf met Lovable, Bolt en Cursor, dus we kennen niet alleen wat er moet kloppen, maar ook waar deze tools standaard tekortschieten.
VAVO — onze interne checklist
VAVO is hoe wij een applicatie evalueren. Vier dimensies, niet-overlappend, samen dekkend. Je hoeft het niet te kennen om met ons te werken — het is onze interne taal — maar als je geïnteresseerd bent:
V — Vulnerabilities
Wat breekt nu. Aanvalsoppervlakken die op dit moment bestaan: blootgestelde API-sleutels, publieke database-queries, OWASP-class flaws, niet-geauthenticeerde endpoints. Geen theoretisch risico — wat een aanvaller vandaag zou kunnen misbruiken.
A — Architecture
Wat houdt het overeind. De structuur van de applicatie: multi-tenant data-isolatie, RLS-configuratie, environment-scheiding tussen dev/staging/prod, dependency-hygiëne, schaalbaarheid, secret-management. Het fundament dat bepaalt of het systeem blijft staan als het echt op gang komt.
V — Validation
Wat passeert de poort. Wat erin en eruit gaat, en hoe het wordt gecheckt: authenticatie-flows, OAuth-callback-veiligheid, input-validatie, API-integratie-grenzen, contactformulieren. De poorten tussen jouw applicatie en de buitenwereld.
O — Observability
Wat zie je ervan. Wat je — én een toezichthouder — van het systeem kunt zien: gestructureerd loggen, error monitoring, AVG-consent records, AI Act audit trails, Belastingdienst-log retentie. De artefacten die bewijzen hoe de app heeft gedraaid.
Waarom precies deze vier
Elke as beantwoordt een vraag die de andere niet kunnen. Reduceer naar drie en je verliest een kritische dimensie. Voeg een vijfde toe en je begint te splitsen wat één van de vier al dekt. We hebben VAVO getoetst tegen OWASP, CIA-triad, STRIDE en SOC 2 — het is het kleinste niet-overlappende dekkingsraster voor vibe-coded applicaties dat we konden vinden.
Onze drie stappen
Auditen · Herstellen · Bewaken. Dat is de hele praktijk in drie woorden. Auditen is wat de Stamp en de code scan doen. Herstellen is wat Release en Wingman doen. Bewaken is wat Genie en Wingman doen. Due Diligence zit ertussen — formele evaluatie voor wanneer je echt door wilt.
Cross-cutting concerns
Niet alles past in vier dimensies. Een paar dingen lopen er dwars doorheen:
- Privacy — meer dan consent. Data-minimalisatie (V), retentie en residency (A), subject-rights administratie (O). Krijgt een aparte privacy-lens over het rapport, niet een vijfde as.
- Toegankelijkheid (WCAG, EU EAA vanaf 2025) — groeiende EU-eis. Behandeld als cross-cutting lens; krijgt dedicated coverage zodra EAA-handhaving de markt rijp maakt.
- Performance, onderhoudbaarheid en kosten vallen buiten de audit-scope van de Stamp, de code scan en Due Diligence, omdat het geen risico- of compliance-vragen zijn. Bij Release en Wingman komen ze wél in beeld — daar herstellen en bewaken we het systeem als geheel.
Geen lock-in
Je hoeft geen abonnement te nemen om met ons te werken. De Stamp is gratis, de code scan, de expert meeting en de Release-onderdelen zijn vaste eenmalige bedragen, en je bepaalt zelf wanneer en of je doorgaat. Genie en Wingman lopen door, maar zijn maandelijks opzegbaar. Onze incentive is dat je doorvertelt, niet dat je vastzit.