Ton site a l'air clean.
Regarde dessous.
L'IA code vite et laisse passer les mêmes failles : clés exposées, bases ouvertes, formulaires non protégés. On les déterre en 15 secondes et on te donne le correctif exact à coller dans ton outil de code.
Une faille invisible aujourd'hui, une fuite demain.
Ce ne sont pas des détails théoriques. Voici ce qui arrive vraiment quand l'IA laisse une porte ouverte dans ton app.
Ta base lisible par n'importe qui
Une clé Supabase mal réglée, et tes e-mails clients, commandes et messages se téléchargent depuis un simple navigateur. Sans laisser de trace.
Un compte admin offert
Une clé service_role oubliée dans le code donne les pleins pouvoirs sur ta base : tout lire, tout modifier, tout effacer.
Des factures qui s'envolent
Une clé cloud exposée, et quelqu'un fait tourner ton infra ou tes crédits à ta place. La note arrive à la fin du mois.
Tout ce qu'on passe au crible.
Huit familles de failles, celles que l'IA laisse le plus souvent derrière elle. Ton site en ligne, et si tu le connectes, ton code source.
Clés et secrets exposés
Clés Stripe, AWS, OpenAI, tokens d'API laissés dans le code envoyé au navigateur ou commités sur GitHub.
Backend ouvert
Supabase ou Firebase dont les règles d'accès laissent lire, modifier ou vider ta base sans aucune authentification.
Formulaires et inscriptions
Mots de passe envoyés sans HTTPS, formulaires pointant vers des tiers, inscription ouverte sans garde-fou.
Fichiers sensibles accessibles
Fichiers .env, dossiers .git, dumps SQL et sauvegardes laissés publics à la racine de ton site.
En-têtes et TLS
Content-Security-Policy, HSTS, cookies non sécurisés, certificat et configuration de transport.
Librairies et dépendances
Versions de bibliothèques JS avec failles connues (CVE) et paquets vulnérables dans ton package-lock.
DNS et e-mail
SPF, DMARC et DNSSEC manquants qui laissent usurper ton domaine pour envoyer des mails en ton nom.
Source maps et configuration
Code source reconstructible et fichiers de configuration laissés en ligne, qui révèlent ton architecture.
De la faille au correctif, en trois gestes.
Tu colles ton URL
Aucun compte, aucune installation. Le scan tourne depuis nos serveurs en une quinzaine de secondes.
On déterre les failles
Ton site en ligne, et si tu connectes GitHub, ton code. Clés exposées, bases ouvertes, secrets commités.
Tu colles le correctif
Chaque faille arrive avec un prompt prêt pour Cursor, Lovable ou Claude Code. On revérifie après ta correction.
Teste gratuitement. Corrige en Pro.
Le scan gratuit te montre les failles. Le Pro débloque le rapport complet à coller dans ton outil, le crawl de tout ton site et l'analyse de ton code.
- ✓1 page analysée
- ✓1 scan par jour
- ✓Aperçu des failles trouvées
- ✓Score et note de sécurité
- ✓Crawl de plusieurs pages
- ✓Pages de connexion et espaces authentifiés
- ✓Rapport complet à coller dans ton outil IA
- ✓Scan de ton code GitHub (boîte blanche)
- ✓Export PDF et re-vérification après correction
- ✓Tout le plan Pro
- ✓Marque blanche sur les rapports
- ✓Scans planifiés et alertes e-mail
- ✓API publique et serveur MCP
- ✓Suivi multi-clients
Les questions qu'on nous pose.
C'est quoi le vibe coding, et pourquoi c'est risqué ?+
Coder en demandant à une IA (Cursor, Lovable, Claude, v0) de générer l'app pour toi. Ça va très vite, mais l'IA laisse souvent passer les mêmes failles : clés en clair, base ouverte, formulaires non protégés. Tu le vois rarement, parce que le site a l'air de marcher.
Scanner mon site, c'est légal et sans risque ?+
Oui. On lit ton site comme le ferait un visiteur, en lecture seule. On ne tente aucune attaque, on ne modifie rien, on n'exploite aucune faille. On détecte, on explique, on te donne le correctif. C'est ton site, tu as le droit de l'auditer.
Je n'y connais rien en sécurité, je vais comprendre ?+
C'est fait pour ça. Chaque faille est expliquée en français simple : ce que c'est, pourquoi c'est grave, et un correctif prêt à coller dans ton outil de code. Pas de jargon, pas de rapport de 1000 lignes.
Combien de temps ça prend ?+
Une quinzaine de secondes pour un premier rapport, sans compte. Le scan tourne depuis nos serveurs, tu n'installes rien.
Qu'est-ce que vous faites de mes données ?+
Le strict minimum. On ne stocke jamais tes clés ni tes secrets en clair : ils sont détectés, puis masqués. Le rapport t'appartient.
Découvre ce qu'il y a sous ton site.
Gratuit, sans compte, en quinze secondes. Tu verras exactement ce qu'un attaquant voit.
Scanner gratuitement