Votre outil a été généré par une IA, et il bugue, casse à chaque correction ou n’arrive pas en production. Je l’audite gratuitement, je le sécurise et je le finis, au forfait, sans tout jeter.
Vous en êtes là ?
Si vous vous reconnaissez dans deux ou trois d’entre elles, ce n’est pas un échec. C’est le moment où un prototype doit devenir une vraie application.
Vous demandez une retouche, l’IA répare l’écran et en dérègle un autre. Au bout de dix allers-retours, plus personne ne sait ce qui marche encore.
Les règles d’accès générées sont souvent trop permissives : n’importe qui connaissant l’adresse peut lire les fiches clients. C’est un problème légal, pas seulement technique.
Le paiement, les relances ou l’export que vous vouliez depuis le début ne passent plus : l’IA tourne en rond sur une logique qu’elle ne comprend plus.
Chaque tentative de correction consomme des crédits, même quand elle échoue. La facture monte et le projet n’avance pas.
Lenteurs, données qui se mélangent, réservations en double dès que plusieurs personnes travaillent en même temps.
Le prestataire ou l’outil n’est plus là, ou un développeur a regardé et vous a conseillé de tout refaire. Vous restez bloqué avec un outil que vous utilisez tous les jours.
Ce que l’audit regarde en premier
Quatre points que je vérifie avant toute autre chose, avec les chiffres publics qui montrent que ce n’est pas théorique.
45 % des tests
Dans l’étude 2025 de Veracode sur plus de cent modèles d’IA, le code généré introduisait une faille de sécurité dans 45 % des tests. Les modèles plus récents ou plus gros ne font pas mieux.
Source : VeracodeCVE-2025-48757, score 9,3 sur 10
Une faille publiée en mai 2025 décrit des règles d’accès insuffisantes sur les bases des sites générés par Lovable : lecture et écriture possibles sans compte. Lovable répond que la protection des données reste à la charge de chaque client. C’est donc à vérifier sur la vôtre.
Source : cve.orgRègle de Supabase
La documentation de Supabase, la base utilisée par Lovable et Bolt, le dit sans détour : une table exposée sans Row Level Security est lisible et modifiable par n’importe quel rôle qui y a accès, dont le rôle public utilisé par votre application.
Source : Documentation Supabase0,50 à 2 crédits par demande
Chez Lovable, chaque message en mode construction coûte des crédits : griser un bouton 0,50, ajouter une authentification 1,20. Une demande arrêtée en cours de route est facturée pour le travail déjà fait, et les crédits mensuels expirent au bout de deux mois.
Source : Documentation LovableTest gratuit
Huit questions sur votre outil, ses utilisateurs et ses données. Le test vous donne un niveau de risque, les points que je vérifierais en premier et la formule adaptée. Sans inscription.
Celui qui a généré la plus grande partie du code.
Comment je m’y prends
Vous pouvez vous arrêter après chaque étape, et votre application reste en ligne pendant tout le travail.
Trente minutes en visio ou par téléphone, puis je lis votre code et vos règles d’accès (dépôt GitHub en lecture seule, ou export de l’outil). Sous 48 h, vous savez si votre application est récupérable et par où commencer.
Si vous voulez aller plus loin, je rédige la liste complète : failles, bugs, dette technique, ce qu’on garde et ce qu’on refait, avec un prix fixe pour chaque étape. Déduit de la suite si vous continuez.
D’abord les données et les accès, puis les bugs qui bloquent, puis les fonctions qui manquent. Je travaille sur une copie et on bascule quand c’est prêt.
Dépôt GitHub à vous, documentation, sauvegardes en place. Vous continuez avec l’IA sur une base saine, ou vous me confiez la maintenance.
Tarifs
Chaque étape a son prix, annoncé d’avance, et vous pouvez vous arrêter après chacune.
Gratuit
Trente minutes d’échange, lecture du code et des règles d’accès, premier avis écrit sous 48 h.
400 €
Liste complète des failles, bugs et corrections, classée par urgence, avec un prix fixe par étape. Déduit si vous continuez.
De 900 à 1 500 €
Règles d’accès de la base, clés retirées du navigateur, sauvegardes, comptes et droits. Trois à sept jours.
De 2 500 à 6 000 €
Bugs bloquants corrigés, doublons supprimés, tests sur les parcours sensibles, déploiement propre. Deux à quatre semaines.
Une refonte complète se chiffre après le diagnostic : la plupart des outils de TPE et PME se situent entre 5 000 et 15 000 €.
Maintenance ensuite, si vous le souhaitez : de 100 à 300 € par mois.
Prix nets : TVA non applicable (article 293 B du CGI).
Ce que vous récupérez
Un dépôt GitHub que vous possédez, lisible par n’importe quel développeur. Vous n’êtes plus prisonnier d’un outil.
Chaque utilisateur ne voit que ses données, les clés sensibles sont côté serveur, et c’est vérifié par un test.
Les parcours qui comptent (connexion, paiement, réservation) sont testés automatiquement, et la mise en ligne se fait en une commande.
Comment lancer, sauvegarder et restaurer l’application, écrit noir sur blanc. Et quelqu’un à appeler.
Cas réel
Un client est venu avec un outil qu’il avait construit lui-même, et qu’il utilisait tous les jours malgré les plantages.
Exemple de diagnostic
Extrait d’un diagnostic rédigé sur un projet de démonstration (une application de réservation générée avec Lovable), pour vous montrer le niveau de détail. Chaque point donne le constat, la gravité et la correction prévue.
Aucune règle d’accès sur la table des clients : avec la clé publique de l’application, n’importe qui peut lister les noms, e-mails et téléphones. Correction : règles par utilisateur, vérifiées par un test automatique.
La clé secrète Stripe est appelée depuis la page. Correction : déplacer l’appel côté serveur et renouveler la clé.
Rien n’empêche deux clients de réserver la même place au même moment. Correction : contrainte en base et message clair à l’utilisateur.
La base est sauvegardée par l’hébergeur, mais personne n’a jamais testé une restauration. Correction : sauvegarde quotidienne et essai de restauration documenté.
Questions fréquentes
Dans la plupart des cas, oui. Si la structure tient, on sécurise, on nettoie et on continue à partir de votre code. Si chaque écran a été bricolé séparément, repartir sur une base propre coûte parfois moins cher que de colmater pendant des mois. L’audit gratuit vous le dit avant d’engager un euro.
Rarement. Réécrire efface ce qui marche déjà. Je garde l’interface et les parcours que vos utilisateurs connaissent, et je refais seulement les fondations qui lâchent : accès, données, paiement, déploiement.
Lovable et Bolt synchronisent le projet avec un dépôt GitHub qui vous appartient ; vous m’y donnez un accès en lecture seule. Sans dépôt, l’export du code suffit pour l’audit. Je ne modifie rien sans votre accord.
Pendant l’audit, oui, pour que rien ne bouge. Ensuite, c’est à vous de voir : beaucoup gardent l’outil pour maquetter de nouveaux écrans et confient à un développeur tout ce qui part en production.
C’est la première chose que je vérifie. Si la base était ouverte, je vous le dis par écrit, avec ce que le RGPD vous impose (information des personnes concernées et déclaration à la CNIL sous 72 heures quand le risque est avéré), et je ferme la porte le jour même.
Premier avis sous 48 heures. Mise en sécurité en trois à sept jours. Reprise et mise en production en deux à quatre semaines. Une refonte complète suit le rythme d’un projet classique, livré par étapes.
Oui. Les outils changent, les défauts se ressemblent : accès trop larges, clés dans le navigateur, pas de tests, pas de sauvegarde. J’ai repris un outil construit avec Base44 puis Lovable, et je travaille en React, Nuxt, Vue, Node.js et Python.
Oui, et c’est même conseillé pour les petites retouches. La différence, c’est qu’une fois en production, chaque modification passe par une relecture et des tests avant d’être mise en ligne.
Oui, avec des entreprises de Rennes, de Bretagne et d’ailleurs en France. Visio, téléphone, accès au dépôt : tout se fait à distance, avec des points réguliers.
Blog
Ce que j’ai écrit sur les applications générées par l’IA, le no-code et les outils sur mesure.
Envoyez-moi son adresse et quelques mots sur ce qui coince. Je regarde le code et vous repartez avec un premier avis écrit sous 48 h, gratuit, même si la conclusion est que tout va bien.
