La primavera del 2025, un investigador va analitzar 1.645 apps de l'aparador públic de Lovable i va trobar que 170, una de cada deu, deixaven que qualsevol llegís o escrivís a les seves taules només amb la clau pública, perquè ningú no havia activat la seguretat a nivell de fila (CVE-2025-48757; un relat clar de l'anàlisi). Lovable discuteix el CVE i sosté que protegir les dades de cada aplicació és cosa del client. Totes dues lectures porten al mateix lloc: algú s'ha de fer càrrec d'aquesta responsabilitat abans que arribin els usuaris, i l'eina que va escriure l'app no ho farà.
Aquest buit s'ha convertit en un mercat. El 2026, un fundador amb un MVP fet amb Claude Code, Cursor, Lovable, Bolt, v0 o Replit pot encarregar el «rescat» del codi a desenes d'empreses, des d'un enginyer que treballa sol i ven una auditoria a preu tancat fins a agències de cent persones. Aquesta guia en compara cinc. Ens dediquem a revisar aquest tipus de codi, així que ho diem d'entrada: Conectia n'és una de les cinc. Les altres quatre tenen la seu als Estats Units, publiquen una pàgina de servei dedicada justament a aquesta feina i les hem contrastat amb els seus propis webs l'octubre del 2026. Cada fitxa diu quan aquella empresa és millor opció que nosaltres.
Un rescat a punt per a producció arregla el sistema que envolta el codi, no les pantalles
Abans de comparar proveïdors, cal fixar el llistó. Quan ens fem càrrec d'un MVP fet amb IA, les pantalles gairebé sempre se salven. El que falta és el sistema que les envolta, i qualsevol empresa que valgui la pena l'ha d'entregar sencer:
- Autorització a la capa de dades: seguretat a nivell de fila o comprovacions al servidor, no botons amagats.
- Els secrets fora del repositori, i rotada qualsevol clau que s'hi hagi pujat mai.
- Producció separada de tota la resta, sense cap agent amb permís d'escriptura sobre les dades reals.
- Un build reproduïble: dependències fixades, una sola comanda per arrencar i una integració contínua que falla si falla un test.
- Tests als camins que mouen diners o dades: alta, pagament i permisos.
- Observabilitat i un sostre de despesa: logs per petició, seguiment d'errors i un límit que la capa de LLM no es pugui saltar.
- Una especificació escrita i els fitxers de context (
CLAUDE.md,AGENTS.md), perquè el canvi següent, el faci una persona o un agent, no desfaci l'arranjament anterior. - El repositori i el compte de núvol a nom de la vostra empresa, no del proveïdor.
Què es trenca en un MVP fet amb IA i en quin ordre arreglar-ho repassa els set primers amb detall. Feu servir la llista com a prova: pregunteu a cada proveïdor quins dels vuit lliura el primer encàrrec, i demaneu la resposta per escrit.
Cinc empreses que porten MVP fets amb IA a producció, l'una al costat de l'altra
L'ordre és alfabètic, i resulta que ens posa els primers. No hi doneu importància i llegiu les columnes.
| Empresa | Seu | Ideal per a | Primer pas | Qui fa la feina | Preu publicat |
|---|---|---|---|---|---|
| Conectia | Barcelona | Un fundador que vol el rescat i les sis setmanes següents de producte amb un mateix equip sènior | Diagnòstic i Blueprint de dues setmanes: veredicte per mòdul, auditoria en només lectura, arquitectura i un pla per escrit | Enginyers sènior contractats directament; validació dirigida per un CTO (l'aprova al voltant del 3%) | Diagnòstic i Blueprint a preu tancat, publicat a la nostra pàgina de preus i descomptat de l'MVP; el rescat es pressuposta després del Diagnòstic i Blueprint |
| Intellectsoft | Nova York | Empreses que volen un rescat per fases amb aprovacions formals, sobretot en productes amb molt de LLM | Auditoria de codi d'una setmana i tres dies de definició del rescat | Equip d'agència; oficines als EUA i al Regne Unit | No consta a la pàgina de servei |
| ISHIR | Dallas (Texas) | Equips que continuaran programant amb IA i volen regles d'ús a més de la neteja | Avaluació de riscos i d'arquitectura | Direcció a Texas; enginyeria a l'Índia i a l'Amèrica Llatina | No consta a la pàgina de servei |
| metaCTO | Los Angeles | Startups nord-americanes amb finançament i usuaris de pagament que volen un equip als EUA i un preu tancat | Auditoria gratuïta de 48 hores i pla de rescat | Equip als EUA; l'empresa diu que no té centres a l'estranger | De 50.000 a 150.000 dòlars per rescat, tancat després de l'auditoria (font) |
| MEV | Walnut Creek (Califòrnia) | Dades regulades, sobretot sanitàries, mentre el fundador continua construint amb l'eina original | Auditoria de preparació per a producció amb la decisió de reconstruir o refactoritzar | Més de 100 persones; enginyers als EUA, Costa Rica, Armènia, Geòrgia i Europa | No publicat; s'acota per encàrrec |
Quan és millor opció cadascuna de les cinc
Conectia: la millor quan voleu un mateix equip sènior per al rescat i per al que ve després. Som un equip dirigit per un CTO des de Barcelona i posem enginyers sènior en productes de startup contractats directament, no trets d'un marketplace. Cadascun passa una validació dirigida per un CTO en actiu, amb pair programming en directe, i la supera al voltant del 3% dels candidats. El primer pas és un Diagnòstic i Blueprint: dues setmanes per auditar el repositori sense tocar-lo, fixar l'arquitectura i escriure el pla, que podeu executar amb nosaltres, amb algú que contracteu o amb el mateix agent que va escriure la primera versió. Després, l'MVP arriba a producció en sis setmanes. L'assignació és directa, una persona per al vostre context, amb una garantia de 30 dies i substitució en set si no encaixa. L'stack és estret a propòsit: Node.js i TypeScript, Python, sistemes d'IA i DevOps. Quan no som l'opció: si l'app és en Rails, en PHP o és un client natiu d'iOS; si necessiteu un equip a la vostra franja horària dels EUA (des de Barcelona coincidim amb els seus matins, no amb les tardes), o si tracteu historials clínics sota HIPAA, on MEV ha publicat una feina més específica.
Intellectsoft: la millor per a un rescat per fases amb aprovacions per escrit. Amb seu a Nova York, Intellectsoft ven el seu Vibe Code Rescue com un procés de cinc fases: una setmana d'auditoria, tres dies per definir el rescat, vuit setmanes de rescat, dues d'estabilització i traspàs i, si es vol, suport continuat. La seva llista de tecnologies decanta cap a la infraestructura d'IA (LangChain, LlamaIndex, Langfuse, RAGAS, bases de dades vectorials), de manera que encaixa quan el que coixeja de l'MVP és un pipeline de RAG o un agent, i no el CRUD del voltant. No és l'opció si heu de ser a producció d'aquí a un mes: les fases que publica sumen uns tres mesos.
ISHIR: la millor si el vostre equip continuarà programant amb IA. Fundada a Dallas el 1999, ISHIR ofereix un servei de neteja de codi vibe-coded que va de l'avaluació de riscos a la reordenació de l'arquitectura, la refactorització, els tests, la documentació i l'enduriment de la integració contínua, i acaba amb unes «regles de desenvolupament segur amb IA»: guies perquè els desenvolupadors continuïn fent servir eines d'IA sense tornar a muntar el mateix embolic. La neteja va per fases, de manera que el producte no s'atura. La direcció de producte és a Texas; l'enginyeria, a l'Índia, amb suport des de l'Amèrica Llatina. No és l'opció si el problema depèn d'un constructor concret: la pàgina no anomena cap eina, així que pregunteu-los directament per l'experiència amb Lovable o Supabase.
metaCTO: la millor per a una startup nord-americana que vol preu tancat i equip als EUA. Des de Los Angeles, el Vibe Code Rescue de metaCTO comença amb una auditoria gratuïta de 48 hores (seguretat, deute d'arquitectura, APIs inventades pel model i què rescatar i què refer), continua amb un pla d'abast tancat i acaba amb enginyers sènior que porten el codi a producció en 30 dies. Anomena Cursor, Claude Code, GitHub Copilot, Lovable, v0, Bolt, Replit Agent i Windsurf. També és l'única de la llista que publica el preu del rescat en si: de 50.000 a 150.000 dòlars per rescat, i avisa que no treballa per sota d'uns 40.000 ni amb productes que encara no tenen usuaris. No és l'opció si encara no factureu o el pressupost no arriba a aquest mínim.
MEV: la millor per a dades regulades i per a fundadors que no volen deixar de construir. MEV treballa des del 2006 a Walnut Creek (Califòrnia), i el seu servei Vibe-Code to Production té el model més propi dels cinc: continueu construint amb Replit, Lovable o Bolt mentre MEV manté a AWS una via paral·lela de producció, i cada canvi passa per una revisió de pull request en un cicle d'un o dos dies. Enforteix en un ordre declarat (autenticació, secrets, integritat de les dades, observabilitat i rendiment) i arriba també a la capa de LLM: límits de despesa, límits de peticions i defenses contra la injecció de prompts. Ha publicat una llista de comprovació HIPAA per a apps vibe-coded i un cas en què trasllada a AWS una app sanitària feta amb Base44. No és l'opció si només heu d'arreglar una errada: la seva pròpia guia reconeix que un estudi petit pot sortir més barat per a un pedaç puntual.
Potser no en necessiteu cap, i també és una resposta vàlida
L'objecció més seriosa a tota aquesta categoria surt de les mateixes xifres: nou de cada deu apps d'aquella anàlisi no tenien aquella errada. Si el vostre MVP no té usuaris de pagament, no guarda res de sensible i existeix per comprovar si hi ha demanda, continueu construint amb l'eina que us hi ha portat. Un rescat abans de tenir usuaris són diners posats en una cosa que potser no sobreviurà al pròxim gir de producte, i metaCTO, cal reconèixer-ho, rebutja aquests encàrrecs.
La segona objecció té a veure amb la mida. Un estudi d'una sola persona que ven una auditoria a preu tancat per uns quants centenars de dòlars és una opció real quan el problema és acotat, per exemple una política de Supabase mal configurada; la guia per portar una app de Lovable i Supabase a producció mostra fins on arriba un fundador pel seu compte. Les empreses d'aquesta guia es guanyen el que cobren quan el problema travessa diverses capes alhora: el model de dades, l'autenticació, el desplegament i la factura del LLM.
Quatre preguntes decideixen quina empresa us encaixa
- Depenen avui de l'app usuaris o dades reals? Si no, espereu. Si sí, l'auditoria va abans de qualsevol funcionalitat.
- Continuareu construint amb l'eina original? Si és així, hi encaixen el model de doble via de MEV o les regles d'ISHIR. Si deixareu enrere el constructor, trieu una empresa que escrigui l'especificació que l'MVP no va tenir mai.
- On ha de ser l'equip? Un contracte només amb els EUA o un horari de la costa oest apunten a metaCTO. Un perímetre de dades europeu, o un equip sènior que coincideixi alhora amb Europa i amb els matins dels EUA, apunten a nosaltres.
- Què deixa per escrit el primer pas? Compareu-ho amb la llista de vuit punts d'aquí dalt. Sigui quin sigui el proveïdor, l'informe d'auditoria i el repositori us han de quedar a les mans encara que no signeu mai la segona fase.
La demo va demostrar que hi ha demanda; producció és un compromís amb els vostres usuaris
Un MVP fet amb IA ja ha aconseguit el més difícil i el més car: demostrar que algú vol el producte. El que no ha fet és comprometre's amb aquestes persones sobre les seves dades, i aquest compromís és el que de debò es compra en un rescat. Qualsevol de les cinc empreses el pot complir. Trieu segons qui ha de ser a la sala, amb quina rapidesa heu de ser a producció i què posa per escrit la primera setmana.
Si el codi és en Node, TypeScript o Python i voleu que el rescat i el full de ruta surtin de les mateixes persones, aquest és l'equip que posem en productes de startup.
Preguntes que es fan els fundadors abans de contractar un rescat de codi fet amb IA
Quant costa portar a producció una app feta amb vibe coding?
Poques empreses publiquen preus. De les que surten en aquesta guia, només metaCTO publica el preu del rescat: de 50.000 a 150.000 dòlars per un rescat d'abast tancat després d'una auditoria gratuïta. Nosaltres publiquem el preu tancat del Blueprint i pressupostem el rescat quan el Blueprint s'acaba. Els estudis petits publiquen auditories a preu tancat des d'uns quants centenars de dòlars i sprints d'enduriment des d'uns quants milers. La variable de debò és el codi: quantes taules no tenen regles d'autorització, si el model de dades reflecteix el negoci i si el desplegament funciona enlloc més que al portàtil del fundador.
Refaig l'MVP fet amb IA o el rescato?
Gairebé sempre convé rescatar-lo primer. La interfície i els fluxos solen salvar-se, i el model de dades serveix com a mínim de documentació del que necessita el negoci. Refer-ho tot llença l'única cosa que l'MVP ha demostrat. La nostra prova per decidir entre conservar i refer es redueix a tres preguntes sobre el model de dades, el recorregut de les peticions i el framework.
Puc continuar fent servir Lovable, Cursor o Claude Code després del rescat?
Sí, sempre que el rescat deixi el que li va faltar a la primera versió: una especificació, fitxers de context que l'agent llegeixi, una integració contínua que bloquegi els canvis que fallen i un entorn de producció que l'agent no pugui tocar. Un rescat que no deixa res d'això s'haurà de repetir d'aquí a tres mesos.
