🔴 Incident #001 · Critique
Clé OpenAI exposée dans le bundle JS
Une clé API en dur dans le code front. Détectée par un bot GitHub en 4 heures. Facture : 3 200 € de tokens consommés pendant la nuit.
⬡ Audit · Sécurité · Conformité RGPD
Votre app tourne.
Votre app tourne.
Mais est-ce qu'elle
tient vraiment ?
Audit de code, sécurité OWASP et mise en conformité technique pour les apps codées avec Lovable, Bolt, Cursor ou Claude Code. Par un développeur senior avec 7 ans sur des systèmes critiques.
7 ans
Expérience systèmes critiques
OWASP 10
Couvert intégralement
48h
Délai rapport standard
02 — Le constat
Les outils IA génèrent
Les outils IA génèrent
du code qui fonctionne.
Pas du code qui tient.
🔴 Incident #002 · Critique
Supabase RLS désactivé en production
Row Level Security non configurée. N'importe quel utilisateur connecté pouvait lire la table users complète.
🟠 Incident #003 · Haut
Absence de bandeau cookies conforme CNIL
Mise en demeure CNIL à J+90 du lancement. 3 semaines de refonte pour se mettre en règle. Client perdu pendant ce temps.
🟠 Incident #004 · Haut
Grand compte refuse de signer
Audit de sécurité demandé avant intégration. Aucun rapport disponible. Contrat perdu — concurrent mieux préparé a signé à la place.
Ces incidents ne sont pas des cas rares. Ce sont les 4 premiers findings dans la majorité des audits réalisés sur des apps générées par IA.
03 — Pour qui
Cette page est faite
Cette page est faite
pour vous si…
01 / FONDATEUR SOLO
Vous avez codé votre MVP avec une IA.
Lovable, Bolt ou Cursor. Ça marche. Vous voulez savoir si ça tient avant les premiers utilisateurs payants.
→ Audit Production-Ready02 / STARTUP EARLY-STAGE
Un grand compte vous demande un audit.
Votre équipe est junior ou inexistante. Sans rapport d'audit, le contrat ne se signe pas.
→ Audit Production-Ready03 / PME / SCALE-UP
Vous héritez d'une app que vous ne maîtrisez pas.
Rachat, sous-traitance, freelance parti — il vous faut un regard senior fiable, sur la durée.
→ Mission Régie
04 — Offres
3 offres. Forfait fixe.
3 offres. Forfait fixe.
Pas de surprise.
01 / AUDIT PRODUCTION-READY
Le check-up complet avant de lancer.
App prête à sortir ou déjà en ligne. Vous voulez savoir ce qui va casser avant que ça casse.
Ce qui est couvert
- Revue code source & architecture
- OWASP Top 10 (web + API)
- Secrets & credentials exposés
- Config infra (RLS, CORS, headers)
- Dépendances & CVE connues
Livrable
Rapport priorisé (Critique / Haut / Moyen) + restitution visio 1h. Délai 5 à 10 jours ouvrés.
À partir de 1 800 € HT
→ Voir le détail
⬡ Le plus demandé
02 / CONFORMITÉ TECHNIQUE RGPD
Être en règle avant le premier contrôle.
Vous collectez des données (emails, comptes, paiements). Vous ne savez pas si vous êtes vraiment en règle côté technique.
Ce qui est couvert
- Audit des traceurs (cookies)
- Implémentation CMP conforme CNIL
- Registre des traitements de données
- Mesures techniques RGPD côté code
- Vérification des sous-traitants
Livrables
Rapport d'audit + implémentation CMP + registre des traitements. Délai 2 à 3 semaines.
À partir de 1 500 € HT
→ Voir le détail
03 / RÉGIE & COACHING
Un senior dans l'équipe, quand vous en avez besoin.
Vous avez besoin d'un regard senior sur une durée définie — architecture, refonte, montée en compétence équipe.
Formats possibles
- Régie journalière (TJM)
- Forfait accompagnement mensuel
- Sessions de coaching architecture
Stack couverte
PHP/Symfony · Angular · API Platform · Docker · PostgreSQL · Supabase
Disponibilité : limitée
→ Discuter du besoin
→ Comparer les tarifs des offres en détail
Deux audits spécialisés
Accessibilité RGAA
Évaluation selon le référentiel RGAA 4.1 et la norme EN 301 549, taux de conformité mesuré, déclaration d'accessibilité et schéma pluriannuel.
Due diligence technique
Avant une levée de fonds ou un rachat : architecture, sécurité, dette technique et propriété du code, dans un rapport lisible par un investisseur.
Ressources
Votre situation, en quelques mots.
La plupart des demandes commencent par un déclencheur précis. Voici les cas les plus fréquents, et des guides qui répondent sans rien vendre.
Situations concrètes
Guides, sans prestation associée
→ La checklist en 30 points avant mise en production, en accès libre
05 — Preuve
7 ans sur des systèmes
7 ans sur des systèmes
où les bugs coûtent cher.
Avisers n'est pas un cabinet généraliste qui fait de la sécurité en option.
Sept ans à développer des systèmes critiques en production — gestion de contrats d'assurance, portails santé, applications financières avec plus d'un million de transactions par jour.
Ces environnements ont des exigences de sécurité et de conformité que la plupart des apps grand public n'atteignent jamais. Avisers les applique à votre projet.
06 — Méthode
Comment ça se passe
Comment ça se passe
concrètement ?
01
Diagnostic gratuit
30 minutes
On définit ensemble votre besoin réel. Pas de plan de vente — juste un échange.
02
Cadrage & devis
Sous 48h
Périmètre précis, tarif fixe, calendrier engagé. Pas de surprise en cours de route.
03
Audit & analyse
5 à 10 jours
Analyse complète, pas de boîte noire. Vous savez à tout moment ce qui se passe.
04
Restitution
Rapport + visio 1h
Rapport priorisé, corrections expliquées, session Q&A. Vous repartez avec un plan.
Vous recevez un rapport que vous pouvez lire seul, comprendre sans être développeur, et implémenter avec votre équipe. Ou sans équipe — les corrections sont priorisées et expliquées.
Version PDF à venir
30 points à vérifier avant prod
→ Lire la checklist en ligne
Avisers · Checklist
07 — Ressource gratuite
30 points à vérifier avant
30 points à vérifier avant
de mettre votre app en prod.
La checklist gratuite que j'utilise au démarrage de chaque audit. Elle est lisible en ligne dès maintenant, en accès libre et sans inscription. La version PDF est en préparation.
Vous préférez être prévenu à la sortie du PDF ? Demandez-le par le formulaire de contact. Pas de spam, aucune inscription à une newsletter.
08 — FAQ
Questions fréquentes
Vous faites du pentest ?
Non — et c'est assumé. L'audit de code et de configuration couvre 90% des risques réels des apps en early stage. Le pentest (test d'intrusion offensif) est un métier à part, certifié, avec un cadre légal strict. Je ne vends pas ce que je ne fais pas.
Mon app est en no-code / low-code. Vous pouvez auditer ?
Oui. Lovable, Bolt, Bubble, Webflow — ces outils génèrent du code sous le capot. Et surtout, ils exposent des configurations (Supabase, Firebase, APIs tierces) qui sont la vraie surface d'attaque. C'est exactement mon domaine — voir l'audit sécurité Lovable, Bolt & Supabase ou l'audit d'app générée par IA.
Je n'ai pas de développeur pour implémenter les corrections. Comment je fais ?
Le rapport est conçu pour être lisible par un non-développeur. Chaque correction est expliquée avec le « pourquoi » et le « comment ». Si vous avez besoin d'aide, on peut ajouter une mission régie courte après l'audit.
Quel délai pour recevoir le rapport ?
5 à 10 jours ouvrés après le cadrage et la réception des accès. Je traite un nombre limité de missions en parallèle pour maintenir la qualité.
Est-ce que vous signez un NDA ?
Oui, systématiquement. Un accord de confidentialité est inclus dans chaque contrat de mission. Vos données et votre code restent confidentiels.
Quelle différence avec un outil automatisé (Snyk, SonarQube…) ?
Ces outils analysent la syntaxe et les patterns connus. Ils ne comprennent pas la logique métier, les flux d'authentification, la cohérence entre votre API et votre base de données. L'audit humain trouve ce que les scanners ratent — IDOR, mauvaises politiques d'accès, erreurs d'architecture qui créent des risques combinés.
Votre app mérite mieux
qu'un audit post-incident.
30 minutes de diagnostic gratuit. Aucun engagement. On regarde votre situation ensemble et je vous dis honnêtement si j'ai quelque chose à vous apporter.
→ Réserver le diagnostic gratuit