Vibe coding é o jeito de fazer software em que você descreve o que quer, a IA escreve o código, você olha a tela e pede outro ajuste. É assim que muita gente que nunca abriu um editor de código está pondo no ar a página da clínica, o cardápio da lanchonete ou o agendamento do salão. Este guia explica o termo, as ferramentas e os limites. Depois vem a parte que quase nenhum texto sobre o assunto cobre: o que revisar no site gerado antes de divulgar o endereço, para que ele apareça no Google, seja lido pelas IAs e não deixe dados de cliente à mostra.
O que é vibe coding e de onde veio o nome?
Vibe coding é criar software conversando com uma IA. Você pede em português comum ("uma página para a minha oficina, com os serviços, o endereço e um botão de WhatsApp"), a ferramenta gera o código, você confere o resultado na pré-visualização e vai pedindo mudanças. O código em si quase ninguém lê.
O nome surgiu num post do pesquisador de IA Andrej Karpathy no X, em 2 de fevereiro de 2025. Ele falou de um novo jeito de programar em que a pessoa se entrega às vibes e esquece que o código existe, e brincou que aquilo servia para projetos descartáveis de fim de semana. A expressão se espalhou tão rápido que, em 6 de novembro de 2025, o dicionário britânico Collins a escolheu como palavra do ano. A definição do Collins: o uso de inteligência artificial, comandada por linguagem natural, para escrever código de computador.
Não existe tradução consagrada. "Vibe" é a sensação, o clima; "coding" é programar. Seria algo como programar no embalo, e a maioria dos textos brasileiros mantém o termo em inglês, que é como as pessoas buscam.
Uma distinção ajuda a usar a palavra direito. O programador Simon Willison escreveu, em março de 2025, que vibe coding é construir software com IA sem revisar o código que ela produz. Se você lê, testa e consegue explicar a outra pessoa como aquilo funciona, então não é vibe coding: é desenvolvimento de software, com a IA como ajudante. A diferença parece de nome, mas é nela que mora o risco, porque o problema costuma estar justamente no trecho que ninguém leu.
O que muda em relação a programar do jeito tradicional?
Muda quem escreve e, principalmente, como se confere. No modelo tradicional, a pessoa digita cada linha e sabe por que ela está ali. No vibe coding, ela descreve, a IA digita, e a conferência passa a ser feita olhando a tela.
| Programação tradicional | Vibe coding | |
|---|---|---|
| Quem escreve | A pessoa que programa | A IA, a partir de pedidos em texto |
| Como se confere | Lendo o código e rodando testes | Vendo se a tela faz o que foi pedido |
| Primeira versão no ar | Mais demorada | Muito mais rápida |
| O que fica escondido | Pouco, porque o autor conhece o código | Tudo o que a pré-visualização não mostra |
| Quando quebra | Quem escreveu acha o defeito | Pede-se à IA de novo, ou alguém precisa entender um código inteiro do zero |
A quarta linha é a que pega o dono de site. O HTML que o robô do Google baixa, a etiqueta de título de cada página e as regras de acesso do banco de dados não aparecem na pré-visualização. Se ninguém pede, a ferramenta nem sempre faz. Se ninguém olha, ninguém fica sabendo.
Quais ferramentas são usadas no vibe coding?
Elas se dividem em dois grupos. Conferimos o que segue na documentação oficial de cada uma em 29 de outubro de 2026; esses produtos mudam quase todo mês, então vale olhar de novo antes de escolher.
Plataformas que criam e já hospedam o site. Não pedem instalação nenhuma e são o caminho de quem não programa.
- Lovable: gera o app e hospeda. O jeito de entregar as páginas aos robôs mudou em 2026, e o diagnóstico do site do Lovable que some da busca mostra o que vale para cada tipo de projeto, além do caso do v0 e do Bolt.
- Bolt: publica de graça num endereço terminado em
bolt.host. No plano gratuito, todo site publicado é público; domínio próprio só nos planos pagos. - v0, da Vercel: a documentação o apresenta como um agente de IA que cria código e aplicativos completos, publicados com um clique na infraestrutura da Vercel.
- Replit: o Agent monta o aplicativo e o publica num endereço
.replit.app, com acesso público, por senha ou só para convidados. A tela de publicação mostra uma nota de SEO, e os planos pagos têm um SEO Agent que procura melhorias.
Assistentes que trabalham dentro do código do projeto. Pedem um pouco mais de familiaridade (abrir uma pasta, usar o Git), mas deixam você escolher a hospedagem e a forma de montar as páginas.
- Cursor: um editor de código que a própria documentação define como agente de programação.
- Claude Code: a ferramenta de programação da Anthropic. Ela lê o projeto, edita arquivos e roda comandos, no terminal, em editores como VS Code e JetBrains, num aplicativo de computador ou no navegador.
Onde o vibe coding funciona e onde ele cria problema?
Funciona bem quando errar custa pouco:
- protótipo para mostrar uma ideia a um sócio ou a um cliente antes de investir;
- página de um evento, de uma promoção ou de um lançamento com data para acabar;
- ferramenta interna, como uma calculadora de orçamento que só a equipe usa;
- aprendizado: pedir o código e depois pedir à própria IA que explique cada parte.
Começa a dar dor de cabeça quando entra o que a tela não mostra. Login de clientes, pagamento, dados pessoais (que no Brasil caem na LGPD) e integração com outros sistemas pedem alguém que leia o código. O tamanho também pesa: cada pedido novo mexe num projeto que ninguém conhece por inteiro, e consertar uma parte quebra outra que funcionava.
Nossa opinião: para o site de uma empresa pequena ou uma página de vendas, vibe coding resolve, desde que alguém faça a conferência da próxima seção antes de espalhar o link. Para um sistema com cadastro de clientes, use a IA para escrever, mas tenha uma pessoa revisando. Pela régua do Willison, aí já é desenvolvimento de verdade.
Quais sete pontos revisar antes de publicar o site?
Siga esta ordem: os quatro primeiros decidem se o site entra na busca, e os três últimos melhoram como ele aparece.
1. O texto chega no HTML, sem depender de JavaScript? Várias dessas ferramentas geram um aplicativo que se monta dentro do navegador. A pessoa vê a página completa; um programa que só baixa o HTML pode receber uma casca vazia. O Google executa JavaScript, com uma etapa a mais, e mesmo assim a documentação dele recomenda entregar a página pronta pelo servidor, já que nem todo robô roda scripts. Para os robôs das IAs, o que não está no HTML costuma não existir. Isso também não é coisa só de site feito por IA: num levantamento nosso com 53 sites brasileiros, feito de 20 a 22/10/2026, 18 das 302 páginas lidas (6%) vieram com zero palavras para quem não executa JavaScript. Para conferir o seu, cole o endereço na ferramenta que mostra a página do jeito que um robô a lê: ela exibe o texto, os títulos e a marcação de dados que sobram quando ninguém executa os scripts. Se sobrar quase nada, peça à ferramenta que gere as páginas no servidor ou na hora da publicação.
2. Cada página tem title e descrição próprios? Num app montado no navegador existe um único arquivo HTML para o site inteiro. Se a ferramenta não trocar o <title> e a meta description de cada endereço antes de entregar a página, os serviços, o contato e os preços chegam ao robô com o mesmo título da home. Abra o código-fonte de duas páginas (Ctrl+U) e compare, ou passe cada uma na ferramenta de meta tags. Para redigir os textos, siga o roteiro de title e descrição que respondem à busca e pedem o clique.
3. Existe um único H1 por página? O H1 é o título principal da página. Acontece de o gerador marcar como H1 o nome da marca no cabeçalho e de novo a frase do banner. Peça um só, com o assunto daquela página.
4. O robots.txt e o sitemap existem e estão certos? No endereço /robots.txt ficam as permissões de leitura de cada robô; o sitemap é a lista dos endereços que você quer ver no Google. Entre os 53 sites do nosso levantamento de outubro, 9 (17%) não tinham sitemap. Confira se o robots.txt não ficou com um Disallow: / herdado da fase de testes (o testador de robots.txt mostra isso) e, se faltar a lista, veja como montar o sitemap e entregá-lo ao Search Console.
5. O endereço oficial é o seu domínio? O site nasce num subdomínio da plataforma, como bolt.host, replit.app ou vercel.app. Ligue um domínio próprio antes de divulgar e confira a etiqueta canonical, que diz ao Google qual endereço é a versão oficial da página. Ela precisa apontar para o domínio novo, não para o da plataforma. É um erro comum mesmo fora do vibe coding: nas 302 páginas do levantamento, 39 não tinham canonical e 41 apontavam para outro endereço, o que soma 26% do total. Se o seu caso é esse, entenda como a etiqueta canonical escolhe a página que conta. Aproveite para procurar um noindex esquecido no código, a ordem que tira a página do Google: ele apareceu em 12 das 302 páginas, espalhadas por 6 sites.
6. A página está leve? Veja se o código gerado não carrega bibliotecas inteiras de ícones e de animação para usar meia dúzia, ou fotos do tamanho em que saíram do celular. Na regra de peso do nosso validador, a página principal passa quando fica abaixo de 1,5 MB e de 50 requisições. Se passar disso, o roteiro para achar o que pesa e deixa o site lento ajuda a decidir o que cortar.
7. Os dados estruturados dizem quem é a empresa? Os dados estruturados descrevem a página para os buscadores num bloco escondido do visitante, quase sempre no formato JSON-LD: nome do negócio, endereço, telefone, horário. Peça à IA um bloco do tipo Organization ou LocalBusiness com as informações reais e confira no leitor de JSON-LD do Nota do Site se ele está válido.
Que cuidados de segurança o site feito por IA pede?
Dois, principalmente, e os dois estão escritos na documentação dos próprios fabricantes.
Chave secreta no código do navegador. Tudo o que vai para o navegador pode ser lido por qualquer visitante, basta abrir o código-fonte. Muitos desses projetos usam o Vite, e a documentação dele avisa que as variáveis com o prefixo VITE_ acabam dentro do código entregue ao navegador e não devem guardar chaves de API. Chave de serviço pago (de IA, de pagamento, de envio de e-mail) fica no servidor ou numa função que roda nele.
Banco de dados sem regra de acesso. O Lovable, por exemplo, oferece integração com o Supabase para guardar os dados do app, e a documentação dele pede que você confirme, antes de pôr no ar, se toda tabela tem regras dizendo quem lê e quem grava cada linha. No Supabase existem dois tipos de chave. A publicável (a antiga anon) foi feita para ficar no navegador e só alcança o que essas regras, chamadas de Row Level Security (segurança por linha), permitem. A secreta ignora todas essas regras e nunca pode sair do servidor. A documentação do Supabase lembra que uma tabela exposta sem essas regras pode ser lida e alterada por quem tiver permissão de acesso a ela.
Isso já virou registro oficial de vulnerabilidade. O CVE-2025-48757, publicado em 30 de maio de 2025, descreve regras de acesso insuficientes em sites gerados pelo Lovable até 15 de abril de 2025, que permitiam a qualquer pessoa, sem login, ler ou gravar tabelas do banco. O Lovable contesta o registro: diz que cada cliente da plataforma assume a responsabilidade por proteger os dados do próprio app. A contestação é a lição. A ferramenta monta o app, mas quem responde pelos dados dos seus clientes é você.
Não precisa ser programador para fazer a primeira checagem. Peça à IA que criou o site: "liste todas as chaves e senhas que o projeto usa e diga quais aparecem no código enviado ao navegador" e "mostre as regras de acesso de cada tabela do banco e diga quem pode ler e quem pode gravar em cada uma". Se a resposta não fizer sentido para você, chame alguém que entenda antes de abrir cadastro de clientes.
Como colocar a própria IA para revisar o site antes do lançamento?
Faça a IA que escreveu o site ler o relatório de quem confere, e não só a pré-visualização. Há dois caminhos.
Se você programa com o Claude Code, conecte a ele o nosso validador por MCP, o protocolo que deixa um assistente de IA usar ferramentas de fora. Basta uma conta no Nota do Site, um comando no terminal com o endereço do servidor e a autorização pelo /mcp (a página como plugar o validador na sua IA mostra cada passo). A partir daí, o pedido cabe numa frase: "analise o site, me diga o que falhou e corrija no código o que for possível". O validador só lê o site, como um robô sem JavaScript e com identificação própria, a NotaDoSiteBot. Quem altera os arquivos é o Claude Code, com a sua aprovação em cada mudança. Depois de publicar a correção, peça a análise de novo e compare as notas.
Se o site foi feito no Lovable, no Bolt, no v0 ou no Replit, o caminho é manual e funciona do mesmo jeito. Passe o endereço publicado pelo validador de SEO e IA do Nota do Site, copie os itens que falharam e cole no chat da ferramenta, um por vez, pedindo a correção. Publique e analise de novo. A conferência leva uns minutos e evita descobrir, semanas depois, que o Google passou esse tempo todo recebendo uma página em branco.
