Audit vibe coding · offre sur étagère Hestia.
Un architecte logiciel senior lit votre application Lovable, Bolt, Cursor, Replit ou Claude Code en trois jours ouvrés : sécurité, données, paiements, dette. Vous repartez avec un plan de correction que votre outil peut appliquer, un retest et une attestation datée.
À partir de 990 € HT
Trois jours ouvrés. Remboursé si rien de critique.
Rapport d’audit · exemple.lovable.app · 27 septembre 2026 · page 1 sur 14
C-01CritiqueLot 1 · avant les premiers clients
Table profiles lisible sans authentification : aucune politique RLS
GET /rest/v1/profiles?select=* avec la clé anonyme renvoie 1 284 lignes (HTTP 200), dont e-mails et téléphones.C-02CritiqueLot 1 · avant les premiers clients
Clé de service Supabase embarquée dans le bundle client
dist/assets/main-*.js, ligne 2 : chaîne service_role ; elle contourne toute politique RLS.I-01ImportantLot 2 · sous 30 jours
Webhook Stripe accepté sans vérification de signature
api/webhook.ts : le corps est lu et l’abonnement activé sans constructEvent.P-01À planifierLot 3 · fond de dette
Aucune limitation de débit sur /api/generate
Verdict corriger avant les premiers clients, garder l’architecture. Retest des constats critiques à J+30.
Un audit vibe coding est la relecture, par un architecte logiciel, d’une application générée avec Lovable, Bolt, Cursor, Replit, v0 ou Claude Code : sécurité (authentification, politiques RLS Supabase, clés exposées), données personnelles, paiements Stripe, dette technique et exploitation. Hestia. le livre en trois jours ouvrés, à partir de 990 € HT, avec un rapport prouvé, un plan de correction, un retest et une attestation datée.
Ces applications fonctionnaient. Leurs fondateurs n’étaient pas techniques. Aucune n’avait été relue.
98 %
des 1 072 applications vibe-codées scannées avaient au moins une faille ; 172 laissaient effacer des données sans authentification.
Symbiotic Security, juin 2026.
170
applications Lovable sur 1 645 étaient lisibles sans authentification.
CVE-2025-48757, mai 2025.
45 %
du code généré par IA contient une vulnérabilité.
Veracode, GenAI Code Security Report, juillet 2025.
Un scan vérifie qu’une règle existe. Un architecte vérifie qu’elle protège quelque chose.
« This provides a false sense of security, failing to detect the misconfigurations that expose data. »
Matt Palmer, sur le scanner de sécurité de Lovable, mai 2025.
« If you don’t understand the code, your only recourse is to ask AI to fix it for you, which is like paying off credit card debt with another credit card. »
Simon Willison, juillet 2025.
01Sécurité applicative
On vérifie : authentification, autorisations (RLS Supabase, règles Firebase), injections, API exposées, dépendances
02Secrets et configuration
On vérifie : clés dans le bundle, .env commités, historique Git, accès tiers
03Données et RGPD
On vérifie : modèle, sauvegardes, chiffrement, données personnelles, sous-traitants
04Architecture et dette
On vérifie : structure, couplage, code mort, reprenabilité par un développeur
05Fiabilité et performance
On vérifie : erreurs, cas limites, requêtes, limites des plans gratuits
06Coûts et dépendances
On vérifie : facture cloud et IA, quotas, limitation de débit
07Paiements et logique métier
On vérifie : Stripe, webhooks, cohérence des états, contournement du premium
08Livraison et exploitation
On vérifie : environnements, déploiement, rollback, sauvegardes testées
09Conformité de surface
On vérifie : mentions, CGU, cookies, licences
Lu.
Livré.
Suivi.
Hors périmètre : test d’intrusion offensif certifié, refonte de l’interface, nouvelles fonctionnalités.
Tarif
À partir de 990 € HT
Garantie Rien de critique ni de majeur trouvé ? L’audit est remboursé.
Réserver mon auditJ0
accès en lecture seule (dépôt, base en lecture, Stripe en mode test), NDA si vous le souhaitez.
J1 et J2
lecture, tests, preuves.
J3
rapport, plan et restitution.
J+30
retest et attestation.
Associé d’Hestia., il relit chaque application de bout en bout, écrit les constats avec leur preuve et signe le rapport.
Fondateur d’Hestia., il vibe-code lui-même les outils de ses sociétés (facturation, paie, mémoire d’entreprise). Il ne relit pas votre code : il cadre la mission, vous répond et vous accompagne dans la suite.
« J’ai construit les outils de mes sociétés en vibe coding. Ils tournaient, et personne ne les avait relus. J’avais besoin de ce service : nous l’avons monté. »
Guillaume Aubry, fondateur d’Hestia.
Vous avez bien fait de construire. On vous aide à le garder.
Fonctionner et être sûre sont deux choses : 98 % des 1 072 applications scannées par Symbiotic fonctionnaient, et avaient au moins une faille.
Le scan vérifie qu’une politique existe, pas qu’elle protège : une règle USING (true) passe le scan et laisse tout lisible.
Elle corrigera ce qu’elle voit et cassera parfois autre chose ; sans relecture, personne ne sait ce qui reste ouvert.
C’est trois jours bornés d’un architecte sur une application, avec une preuve pour chaque constat. Les correctifs se chiffrent ensuite, sur devis, et l’audit est déduit.
Pas par principe. Le verdict est chiffré : garder, corriger ou reconstruire, avec le coût de chaque option.
C’est le meilleur moment : corriger avant les premiers clients coûte dix fois moins qu’après.
Non : lecture seule, aucun changement, NDA sur demande, copies supprimées après remise.
Vous appliquez le plan avec votre outil, votre développeur ou nous. Si vous nous confiez les correctifs sous 30 jours, l’audit est déduit.
L’adresse de l’application ou l’e-mail n’a pas été compris. Reprenez le formulaire ci-dessous.
C’est noté. Voici la suite.
On ouvre l’application dont vous avez indiqué l’adresse en lecture seule. Réponse sous un jour ouvré, par Guillaume.
Réponse sous un jour ouvré, par Guillaume.