Base de données ouverte
CritiqueTables Supabase sans RLS, règles Firebase en « allow true » : n'importe qui peut lire vos utilisateurs avec la clé publique.
Bêta : 5 audits offerts
Votre app vibe‑codée est‑elle prête pour de vrais clients ?
Lovable, Bolt, Cursor, v0… L'IA code vite, mais laisse souvent des portes ouvertes. Je trouve les failles de votre app, je les corrige et je vous explique tout, en français. Résultat en 48 h.
Lecture seule de votre code · Aucun test sur votre production · Copie supprimée en fin de mission
Ce qu'on trouve le plus souvent
Les mêmes erreurs reviennent d'une app générée par IA à l'autre. Elles sont invisibles tant que personne ne les cherche.
Clés secrètes exposées
CritiqueClés Stripe, OpenAI ou service_role dans le code envoyé au navigateur, ou oubliées dans l'historique git.
Paiements contournables
CritiqueWebhook Stripe non signé, accès premium débloqué sur la page « merci » : l'abonnement devient optionnel.
Accès aux données des autres
ÉlevéUne route qui fait confiance à l'identifiant envoyé par le client : changer un chiffre dans l'URL suffit.
Facture IA illimitée
ÉlevéUn endpoint OpenAI ou Anthropic sans authentification ni limite : quelqu'un d'autre consomme votre crédit.
Dépendances vulnérables
MoyenDes dizaines d'alertes npm audit, dont quelques-unes vraiment exploitables. Encore faut-il savoir lesquelles.
Cas réel, anonymisé
Une app soignée, avec des tests… et quand même des trous
SaaS en production, Next.js + Supabase + Stripe, plus de 200 commits et une suite de tests. Les scanners remontaient 47 alertes. Après tri, voici ce qui comptait vraiment.
rapport.md
- ●Tables sans RLS : comptes et jetons OAuth potentiellement lisibles
- ●4 dépendances critiques, dont un contournement d'authentification
- ●6 routes publiques qui envoient un e-mail à chaque requête
- ●Paiements Stripe et contrôles d'accès : bien faits ✓
47 alertes → 3 priorités. Temps de correction estimé : moins de 3 h.
Comment ça se passe
100 % en ligne et par écrit. Pas de réunion obligatoire.
- 01
Vous m'invitez sur le repo
Accès en lecture seule sur GitHub, avec votre autorisation écrite. Rien n'est testé sur votre production.
- 02
J'audite et je trie
Analyse outillée puis relecture humaine de chaque point : je garde ce qui est réellement exploitable.
- 03
Rapport clair sous 48 h
Un score, les 3 priorités, ce que vous pouvez faire vous-même tout de suite. En français, sans jargon.
- 04
Je corrige (option)
Corrections sur une branche dédiée, un commit par faille, build vérifié. Vous relisez et vous fusionnez.
Offres
Prix fixes, annoncés avant de commencer.
Audit express
149 €
Livré sous 48 h
- ✓Analyse complète du code et des dépendances
- ✓Relecture humaine, faux positifs écartés
- ✓Rapport en français avec score et priorités
- ✓Actions à faire vous-même, pas à pas
Le plus choisi
Audit + corrections
490 €
Livré sous 4 jours ouvrés
- ✓Tout l'audit express
- ✓Correction des failles critiques et élevées
- ✓Branche dédiée + pull request documentée
- ✓Rate limiting et Dependabot mis en place
- ✓30 jours de questions par e-mail
Agences & freelances
Sur devis
Marque blanche
- ✓Audits des apps que vous livrez à vos clients
- ✓Rapport à votre nom
- ✓Tarif dégressif au volume
- ✓Délais garantis
Candidater à la bêta
Les 5 premières apps retenues reçoivent l'audit express gratuitement. En échange : un retour honnête, et un témoignage si le résultat vous a été utile.
Vous préférez commander directement une offre payante ? Utilisez le même formulaire et précisez-le dans la description.
Questions fréquentes
Avez-vous accès à mes données ou à mes clients ?+
Non. Je lis uniquement le code source, en lecture seule. Je ne me connecte pas à votre production, je ne touche pas à votre base et je supprime ma copie du code à la fin de la mission.
Mon app est faite avec Lovable / Bolt / v0, ça marche ?+
Oui, c'est précisément le cœur de cible. Il suffit que le code soit exporté sur GitHub. Stacks courantes : Next.js, React/Vite, Supabase, Firebase, Stripe, Vercel, Netlify.
Les outils intègrent déjà un scan de sécurité, à quoi bon ?+
Les scanners automatiques produisent des listes d'alertes. Je trie ce qui est vraiment exploitable dans votre contexte, je vous l'explique simplement et je le corrige.
Est-ce une garantie que mon app est inviolable ?+
Aucun audit ne peut le garantir. L'objectif est d'éliminer les failles graves et fréquentes, celles qui font les fuites de données et les mauvaises surprises sur la facture.
Comment fonctionne la bêta gratuite ?+
Les 5 premières candidatures retenues reçoivent l'audit express gratuitement, en échange d'un retour honnête et d'un témoignage si vous êtes satisfait.