Base de données ouverte
Règles RLS Supabase désactivées ou trop larges, règles Firebase en mode test : n’importe qui, muni de la clé publique de l’appli, lit ou modifie les tables.
Audit vibe coding
Audit de sécurité vibe coding : votre appli générée par IA, prête pour la production
Claude Code, Codex, Cursor ou Lovable livrent une appli qui marche. Ils ne garantissent pas qu'un utilisateur ne lira pas les données d'un autre, ni qu'une clé secrète ne traîne pas dans le navigateur. Un pentester lit votre code, attaque votre appli, et vous remet un rapport que votre IA sait corriger. Trois formules à prix ferme, retest inclus.
Ce qu'on trouve
Les failles typiques d'une appli vibe codée
Un agent de code optimise pour une démo qui fonctionne. Quand une règle de sécurité bloque, il l'assouplit ; quand une clé manque côté serveur, il la met côté client. Le détail de chaque faille, et comment la vérifier vous-même, est dans notre guide sécurité du vibe coding : les failles des applis générées par IA.
Clé secrète côté client
Clé service_role, clé OpenAI ou Stripe collée dans le front pour « que ça marche ». Elle se récupère en deux minutes dans le navigateur.
Données d’un autre utilisateur
Changer un identifiant dans l’URL ou la requête suffit à lire la commande, le document ou le profil d’un autre client. C’est une IDOR, la faille la plus fréquente.
Contrôles faits seulement dans l’interface
Le bouton admin est masqué, mais la route qui fait l’action ne vérifie pas le rôle. L’IA a sécurisé l’écran, pas le serveur.
Webhooks de paiement non vérifiés
Le webhook qui active l’abonnement ne contrôle pas la signature : un appel forgé débloque l’offre payante gratuitement.
Dépendances inventées ou abandonnées
Paquets suggérés par le modèle qui n’existent pas, ou plus, et qu’un attaquant peut enregistrer à sa place. Versions vulnérables jamais mises à jour.
La faille la plus fréquente a sa fiche : IDOR, l'accès aux données d'un autre utilisateur.
Livrables
Un rapport écrit pour votre IA, pas seulement pour vous
Vous corrigez avec le même agent qui a écrit le code. Le rapport est donc découpé pour lui : une faille, un fichier, une correction vérifiable. Et pour que la faille ne revienne pas au prochain prompt, l'agent reçoit des règles permanentes.
audit/FIX-03.md
# FIX-03 : factures d’autres clients lisiblesGravité : élevée, CVSS 6.5Fichier : app/api/invoices/[id]/route.ts, ligne 7 ## ConstatLa requête filtre sur l’id de la facture sans vérifierqu’elle appartient à l’organisation de la session. ## Correction attendueAjouter .eq('org_id', session.orgId), renvoyer 404si aucune ligne ne correspond. ## Test de validationConnecté en B, GET /api/invoices/<facture de A>doit répondre 404.CLAUDE.md
## ProjetNext.js, Supabase, Stripe. ## Règles de sécurité- Toute table est créée avec RLS activé.- Aucune clé secrète dans le code client.- Rôles et propriété vérifiés côté serveur.- Webhooks : signature vérifiée d’abord.- Ne jamais désactiver une règle pour faire passer un test.- Un fichier de correction par faille
- Contexte, fichiers et lignes concernés, correction attendue, test qui prouve qu’elle tient. Vous le donnez à Claude Code, Codex ou Cursor sans réécrire le constat.
- Des règles pour votre agent
- Un bloc à ajouter dans le CLAUDE.md, l’AGENTS.md ou les règles Cursor du projet : jamais de clé secrète côté client, toute table sous RLS, tout contrôle de rôle côté serveur. L’agent arrête de réintroduire la faille.
- Les failles au fil de la mission
- Chaque faille confirmée vous est transmise sans attendre le rapport final : vous corrigez avec votre IA pendant que les tests continuent.
- Un rapport PDF classique
- Synthèse dirigeant, score CVSS, preuves et plan de correction. C’est le document que demandent un investisseur, un client grand compte ou un assureur.
Les fichiers de correction décrivent comment exploiter vos failles : gardez-les hors de tout dépôt public. Le rapport PDF suit la structure de notre exemple de rapport de pentest.
Formules
Trois formules à prix ferme
Nos autres missions sont chiffrées sur devis. L'audit vibe coding fait exception : le périmètre d'une appli générée par IA est assez standard pour être découpé en formules. Chacune inclut le rapport pour votre IA, le rapport PDF, la restitution et le retest à 30 jours.
Scan automatisé
moins de 2 000 €
Audit vibe coding Laucked
2 500, 3 500 ou 4 500 € HT
Pentest d’une appli de PME
3 000 à 15 000 € HT
Essentiel
2 500 € HT
3 jours de tests
Une appli web avec un seul type d’utilisateur, sans paiement en ligne.
- Règles d’accès de la base (Supabase, Firebase) et du stockage de fichiers
- Secrets et clés exposés dans le code client et le dépôt
- Authentification, sessions, réinitialisation du mot de passe
- Accès aux données d’un autre utilisateur
Production
3 500 € HT
4 jours de tests
Plusieurs rôles (utilisateur, admin, support), paiement en ligne, quelques API tierces.
- Tout le périmètre Essentiel
- Séparation des rôles et élévation de privilèges
- Paiement et webhooks (Stripe, Lemon Squeezy, Paddle)
- Fonctions serveur et routes d’API exposées
Scale
4 500 € HT
5 jours de tests
Plusieurs organisations clientes dans la même appli, back-office, intégrations nombreuses ou fonctions IA embarquées.
- Tout le périmètre Production
- Isolation entre organisations clientes (multi-tenant)
- Back-office et comptes à privilèges
- Prompt injection et fuite de données si l’appli embarque un LLM
Au-delà de la formule Scale, l'appli relève d'un audit SaaS ou d'un audit API chiffré sur devis. Pour situer ces prix par rapport au marché, voir notre guide du prix d'un pentest en 2026.
Méthode
Comment se déroule la mission
30 min
Appel de cadrage
On comprend l’appli, on choisit la formule, le prix est ferme à la fin de l’appel.
Avant J1
Accès et version figée
Dépôt en lecture, comptes de test par rôle, un commit de référence qui ne bouge plus.
J1 à J5
Lecture du code et tests
Règles d’accès, secrets, fonctions serveur, puis attaque contrôlée de l’appli. Chaque faille confirmée vous est transmise.
Sous 72 h
Rapport et restitution
Fiches pour votre agent, règles CLAUDE.md / AGENTS.md, rapport PDF, restitution en visio.
Sous 30 jours
Retest
Les corrections de votre IA sont revérifiées, attestation datée à la clé.
La lecture du code suit la méthode décrite dans audit de code source : méthode, prix et différence avec le pentest. Si votre appli embarque un chatbot ou un agent, le volet IA s'appuie sur notre audit de sécurité IA.
Questions fréquentes
Audit vibe coding : vos questions
Pour quels outils de génération de code ?
Toute application construite en grande partie par une IA : Claude Code, Codex, Cursor, Windsurf, Lovable, Bolt, Replit, v0, ou un mélange. Ce qui compte n'est pas l'outil mais la pile produite : le plus souvent Next.js ou React, Supabase ou Firebase, un hébergement serverless et des API tierces. Laucked n'est affilié à aucun de ces éditeurs.
Le prix est-il vraiment ferme ?
Oui, une fois la formule choisie lors de l'appel de cadrage. Le choix se fait sur des critères simples : nombre de rôles, présence d'un paiement, nombre d'organisations clientes, fonctions IA embarquées. Si l'application dépasse la formule Scale, on vous le dit avant de signer et la mission repasse sur devis, comme un pentest web classique.
Faut-il donner accès au code ?
Oui, en lecture seule. Le code généré par IA est volumineux et répétitif : le lire permet de trouver en quelques heures la règle d'accès oubliée ou la clé copiée côté client. Les tests sont ensuite menés sur l'application en fonctionnement, en préproduction de préférence, avec un compte de test par rôle.
Qu’est-ce que le rapport pour votre IA ?
Un fichier Markdown par faille, rédigé pour être donné tel quel à Claude Code, Codex ou Cursor : contexte, fichiers concernés, correction attendue et test qui prouve la correction. S'y ajoutent des règles de sécurité à placer dans le CLAUDE.md ou l'AGENTS.md du projet, pour que l'agent ne réintroduise pas la faille au prochain prompt. Ce fichier décrit vos failles : il ne doit jamais être publié ni poussé sur un dépôt public.
Que couvre le retest ?
Les failles trouvées pendant la mission, revérifiées une fois dans les 30 jours qui suivent la remise du rapport. Une correction écrite par une IA peut ouvrir une nouvelle faille à côté de celle qu'elle ferme : le retest le vérifie et se termine par une attestation datée.
Le scanner de sécurité intégré à mon outil ne suffit-il pas ?
Il est utile et doit rester activé. Il repère des motifs connus : clé exposée, règle d'accès désactivée, dépendance vulnérable. Il ne sait pas si un utilisateur peut lire la facture d'un autre en changeant un identifiant, ni si un rôle « support » peut se donner les droits d'administration. C'est la logique métier, et c'est là que se trouvent les failles graves.
Vos premiers clients arrivent ? Faites auditer l'appli avant eux
Un appel de 30 minutes suffit pour choisir la formule et fixer les dates. Vous repartez avec un prix ferme.