L'IA écrit votre code. Qui le vérifie ?

En 2026, il n'a jamais été aussi facile de construire un logiciel. Je le vis tous les jours : une interface, une base de données et un paiement en ligne peuvent être prêts en quelques heures avec un assistant de code. C'est une vraie révolution pour les entrepreneurs, et je ne vais pas faire semblant du contraire.

Mais il y a un angle mort. L'IA produit du code qui fonctionne à l'écran. La sécurité, elle, ne se voit pas à l'écran. Elle se voit seulement le jour où quelqu'un vient chercher ce que vous avez laissé ouvert.

170 applications grandes ouvertes

Le cas le plus parlant est la faille répertoriée sous la référence CVE-2025-48757 : 170 applications créées avec Lovable laissaient lire leurs données à n'importe qui. Lovable n'était pas en cause. Les bases Supabase générées n'avaient simplement pas de règles Row Level Security, ou des règles qui laissaient tout passer.

Dans Supabase, la clé « anon » est publique, c'est normal. Ce sont les règles RLS qui décident ce qu'elle permet. Sans elles, cette clé suffit pour lire la table des utilisateurs, des commandes ou des messages.

Les erreurs que je retrouve le plus souvent

• Des clés secrètes dans le navigateur. NEXT_PUBLIC_ et VITE_ veulent dire public : tout ce qui porte ce préfixe part dans le JavaScript envoyé au visiteur.
• Des tables sans RLS, ou avec une politique « using (true) » qui autorise tout le monde.
• Des dépendances vulnérables installées sans regarder leur âge ni leur réputation.
• Des routes d'API sans contrôle d'accès, parce que l'interface ne les affichait pas.

Trois réflexes à adopter dès aujourd'hui

Premièrement, gardez chaque clé secrète côté serveur : le navigateur appelle votre API, et c'est votre API qui appelle OpenAI ou Stripe. Si une clé a déjà été publiée, révoquez-la, la retirer du code ne suffit pas. Deuxièmement, vérifiez la RLS de chaque table avant la mise en ligne. Troisièmement, faites relire votre code par quelqu'un, ou par un outil, qui ne l'a pas écrit.

C'est pour cette raison que j'ai créé Citadel : il analyse le code d'une application, ou son adresse en ligne, et rend en quelques minutes la liste des failles classées par gravité, avec la correction à appliquer. L'IA accélère la construction. La vérification, elle, reste notre responsabilité.