Applications créées avec l’IA · Belgique
Votre application créée avec l’IA est-elle vraiment sécurisée ?
Newstack teste la sécurité de votre application — Lovable, Bolt, Cursor, Claude Code ou développement classique : authentification, droits d’accès, base de données, secrets, API. Vous recevez un rapport priorisé en langage clair ; après votre validation, nous corrigeons et retestons. Scan gratuit, prix affichés.
Scan gratuit de votre site
Résultat en quelques secondes. Relecture humaine sous 24 h. Sans engagement.
La vidéo en 40 secondes
40 secondes : ce que voit un attaquant, et comment nous vous aidons à le corriger.
Pourquoi auditer
L’IA permet de livrer une application en un week-end. Elle ne vérifie presque jamais qui a le droit de lire quoi. Les études publiques vont dans le même sens : le code généré fonctionne bien plus souvent qu’il n’est sûr, et les failles les plus courantes — contrôle d’accès manquant, secrets codés en dur, base de données ouverte — ne se voient pas en cliquant dans l’application.
Notre travail : faire ce que ferait un attaquant, avec votre autorisation écrite, et vous le raconter sans jargon. Chaque constat est reproductible, classé par gravité, relié à son impact sur votre activité et accompagné du correctif. Rien n’est modifié chez vous sans votre feu vert.
Du doute au correctif, en cinq étapes
Vous gardez la main à chaque étape. Vous pouvez vous arrêter au rapport et corriger vous-même : il est écrit pour ça.
Scan de première intention
Votre e-mail et l’URL. Contrôles passifs immédiats : HTTPS, en-têtes, cookies, fichiers exposés, secrets visibles dans le navigateur.
Batterie de tests sur périmètre signé
Après accord écrit : authentification, droits d’accès entre utilisateurs, base de données, API, secrets, dépendances, configuration, et fonctions IA le cas échéant.
Rapport priorisé et restitution
Constats classés du critique à l’informatif, preuve reproductible, impact métier, correctif et effort estimé. Une heure de restitution orale.
Votre validation
Vous choisissez ce qui est corrigé, dans quel ordre et par qui. Un devis forfaitaire est établi à partir du rapport.
Correctifs et retest
Nous appliquons les correctifs validés, puis retestons chaque point corrigé. Vous recevez une attestation de retest.
Ce que nous trouvons le plus souvent
Des constats de nature générale, tirés des catégories OWASP et des incidents publics — pas des chiffres sur nos clients.
Base de données lisible par tout le monde
Row Level Security absente ou mal écrite : la clé publique de l’application suffit pour lire, voire modifier, les données de tous les utilisateurs.
Utilisateur A qui lit les données de B
L’application vérifie que vous êtes connecté, pas que la donnée est la vôtre. Changer un identifiant dans l’URL ou la requête suffit (IDOR).
Clés secrètes dans le navigateur
Clés de paiement, d’IA ou « service_role » embarquées dans le code envoyé aux visiteurs : elles sont lisibles par n’importe qui.
Fonctions IA détournables
Un assistant intégré qui obéit à un texte malveillant (prompt injection) et accède à des outils ou à des données qu’il ne devrait pas.
Ce que nous refusons de faire
Quelques lignes rouges, parce qu’elles font la différence entre un audit et un risque de plus.
- Tester un système sans autorisation écrite du propriétaire — c’est une infraction, pas un service.
- Vous vendre un score sur 100 sans lecture humaine.
- Modifier votre application avant votre validation du rapport.
- Promettre « 100 % sécurisé » : personne ne peut, et un rapport honnête dit ce qu’il n’a pas couvert.
Guides pour comprendre avant de décider
Des explications sans jargon, chacune avec son correctif.
Tous les guidesQuestions fréquentes
Mon application a été générée par l’IA : est-elle plus risquée qu’une autre ?
Pas par nature, mais elle est souvent mise en ligne sans relecture sécurité par quelqu’un qui sait où regarder. Les études publiques (Veracode, Carnegie Mellon) montrent que le code généré passe nettement plus souvent les tests fonctionnels que les tests de sécurité. Le risque vient du contrôle d’accès et des secrets, pas du fait que ce soit de l’IA.
Avez-vous besoin de mon code source ?
Pas pour le scan gratuit ni pour un test « de l’extérieur ». Pour l’audit complet, l’accès au code (ou au moins à la configuration de la base) permet de trouver bien davantage, en moins de temps — donc à moindre coût. Nous le proposons, vous décidez.
Testez-vous mon site en production ?
De préférence sur un environnement de préproduction avec des données fictives. Si seule la production existe, nous limitons les tests aux opérations non destructrices, sur créneaux convenus, avec un contact joignable.
Corrigez-vous aussi, ou seulement le rapport ?
Les deux, au choix. Le rapport est autonome et vous pouvez le confier à votre développeur. Si vous préférez que nous corrigions, un devis forfaitaire est établi après votre validation, et le retest des points corrigés est inclus.