Découvrez ce qui est exposé avant vos utilisateurs.
Nous auditons votre site ou votre app pour de vraies vulnérabilités (SaaS, e-commerce, ou tout autre produit web), quand vous en avez besoin, pas seulement avant le lancement. Particulièrement critique si l'app a été construite vite avec des outils IA comme Cursor, Claude Code, Lovable ou Bolt, qui introduisent discrètement les mêmes erreurs.
Test gratuit · Lecture seule · Résultat par e-mail
Rapport de revue de sécurité
acme-app · audité le 14 juil.
Score de sécurité
/ 100
Résultats par sévérité
- Sécurité au niveau des lignesCritique
- Accès au stockage publicAvertissement
- Exposition des clés APIAvertissement
- Flux d'authentificationConforme
Quelque chose dans votre app est-il exposé en ce moment ?
Entrez l'adresse de votre app. Le test cherche les clés secrètes qui fuient et les tables Supabase lisibles sans connexion, puis vous envoie le résultat par e-mail.
Vous préférez le lancer vous-même ?
$ npx validra-check https://your-app.comTesté sur nos propres produits, puis validé sur de vraies missions clients
L'IA vous aide à shipper plus vite.
Elle vous aide aussi à shipper des failles plus vite.
| Symptôme | Cause | Comment on vérifie | |
|---|---|---|---|
| RLS cassée | Votre app fonctionne parfaitement, mais n'importe quel utilisateur peut voir les données d'un autre via l'API. | Sécurité au niveau des lignes absente ou mal configurée sur vos tables. | Audit table par table des policies, vérifié par un test d'accès croisé entre deux comptes. |
| Clés API divulguées | Tout fonctionne bien jusqu'à ce que quelqu'un ouvre les outils de dev et trouve une clé qui n'aurait pas dû être là. | Clés secrètes commitées dans le dépôt ou expédiées directement dans le bundle du navigateur. | Scan complet du code source et du bundle client à la recherche de clés et tokens exposés. |
| Stockage public | Un fichier que vous pensiez privé apparaît dans un moteur de recherche ou un lien au hasard. | Buckets de stockage laissés ouverts, indexables et téléchargeables par n'importe qui. | Test d'accès bucket par bucket, avec et sans authentification. |
| Authentification faible | N'importe qui peut marteler le formulaire de connexion autant de fois qu'il veut. | Aucune limitation de tentatives, sessions faibles, ou contrôles manquants sur les flux d'authentification. | Flux de connexion, réinitialisation et session testés contre les tentatives répétées et falsifiées. |
| Secrets exposés | L'app fonctionne bien en production, mais personne n'est sûr de quelles variables d'environnement sont vraiment privées. | Variables d'environnement et tokens visibles dans les bundles côté client. | Bundle client audité ligne par ligne à la recherche de tout ce qui ne devrait pas être public. |
| Injection de prompt | Un utilisateur colle quelque chose d'étrange dans un champ texte et votre fonctionnalité IA se met à faire des choses qu'elle ne devrait pas. | Des entrées non validées permettent de détourner les instructions de votre IA. | Gestion des entrées revue contre les patterns d'injection de prompt connus. |
Ce n'est pas hypothétique : en 2025, le chercheur en sécurité Matt Palmer a découvert que 170 des 1 645 apps Lovable analysées (environ 10 %) avaient une sécurité au niveau des lignes Supabase absente ou mal configurée, exposant données personnelles, clés API et informations de paiement sur 303 endpoints. (CVE-2025-48757, mattpalmer.io)
Les audits de sécurité traditionnels passent à côté des applications construites avec l'IA.
Les applications construites avec l'IA échouent différemment, et bien plus tôt, que ce pour quoi les checklists de pentest traditionnelles sont conçues.
| Pentest traditionnel | Validra | |
|---|---|---|
| Tarif | 5 000 € – 20 000 €+ | 395 € pour démarrer (790 € max) |
| Délai | 2 à 6 semaines | 5 jours ouvrés |
| Périmètre | Checklist d'infrastructure large | Modes de défaillance spécifiques à l'IA : RLS, secrets, auth, webhooks |
| Livrable | Rapport générique orienté conformité | Rapport clair et priorisé, avec un appel de restitution |
Des failles réelles, trouvées sur de vrais projets.
Voici trois exemples anonymisés de ce que nous trouvons concrètement, pas des scénarios théoriques.
Contournement complet des règles de sécurité au niveau des lignes
Les policies RLS Supabase étaient mal configurées, permettant à n'importe quel utilisateur authentifié de lire et modifier les données de transaction d'autres utilisateurs via des requêtes directes à l'API REST, sans jamais passer par l'interface.
Impact business
Exposition de données financières de l'ensemble des utilisateurs de la plateforme.
Jeton d'authentification exposé dans les paramètres d'URL
Un token JWT transmis en paramètre de requête plutôt qu'en en-tête sécurisé, se retrouvant enregistré en clair dans les logs serveur et l'historique de navigation.
Impact business
Risque de détournement de session utilisateur en cas d'accès aux logs ou à l'historique.
Bucket de stockage public sans restriction d'accès
Des documents destinés à un usage interne étaient accessibles publiquement via une URL prévisible, sans authentification requise.
Impact business
Exposition de documents confidentiels d'entreprise à toute personne connaissant ou devinant l'URL.
Exemples anonymisés issus de missions réelles. Détails modifiés pour préserver la confidentialité des clients.
Ce qu'on vérifie, et ce que vous recevez.
Six catégories critiques, vérifiées avec des outils automatisés et des tests manuels. Livré sous forme de rapport clair et priorisé, avec un appel pour en discuter.
Soumettez votre projet.
Partagez votre dépôt ou votre URL de staging, en moins de cinq minutes.
Nous examinons votre application.
Scan automatisé et revue manuelle par quelqu'un qui construit lui-même des produits IA.
Recevez un plan d'action priorisé.
Des correctifs clairs et classés que votre équipe peut appliquer immédiatement, sans jargon.
Sécurité au niveau des lignes (RLS)
Cartographie des tables exposées par l'API, puis tentative d'accès croisé entre deux vrais comptes de test sur chacune d'elles pour confirmer l'isolation réelle des données.
Gestion des secrets
Analyse du code source et du bundle JavaScript produit pour détecter toute clé ou token exposé côté client.
Permissions de stockage
Test de chaque bucket de stockage avec et sans authentification pour identifier les accès non voulus.
Flux d'authentification
Test des scénarios de connexion, réinitialisation de mot de passe et gestion de session, avec recherche de limitation de tentatives (rate limiting).
Surface API
Recensement des endpoints exposés, testés sans authentification puis avec un rôle utilisateur inférieur à celui requis, priorisés selon ce qui touche réellement aux données utilisateur.
Intégrations tierces
Vérification de la validation des signatures de webhooks (Stripe et autres) pour prévenir les requêtes falsifiées.
Livré sous forme de
Anatomie d'une fiche d'anomalie dans votre rapport Validra
CRITIQUE · Faille IDOR multi-tenant sur l'export de factures (/api/invoices/[id]/export)
# Test cross-tenant access with Tenant B token on Tenant A's invoice:
curl -i https://api.yourapp.com/v1/invoices/inv_9842/export \
-H "Authorization: Bearer <tenant_b_jwt>"
# Exploitation confirmed: HTTP 200 OK
{
"id": "inv_9842",
"org_id": "tenant_a_uuid",
"amount": 4900,
"client": "victim-enterprise@corp.com"
}// src/app/api/invoices/[id]/export/route.ts
- const invoice = await db.invoice.findUnique({ where: { id } });
+ const session = await auth();
+ const invoice = await db.invoice.findFirst({
+ where: { id, organizationId: session.orgId },
+ });
+ if (!invoice) {
+ return NextResponse.json({ error: "Forbidden" }, { status: 403 });
+ }Pas de rapport PDF générique de 80 pages issu d'un scanner. Chaque résultat présenté comme démontré est accompagné d'une preuve reproductible et d'une recommandation de correction concrète.
Construit par des fondateurs de SaaS.
Je construis mes propres produits IA. Je connais les raccourcis.
Je connais les erreurs que les outils de code IA commettent encore.
J'examine les produits comme un fondateur, pas comme un auditeur.
Je ne pars pas d'une checklist générique. Chaque mission enrichit ma méthodologie : je documente chaque erreur rencontrée sur des stacks Supabase, Next.js, et les outils de code IA les plus utilisés aujourd'hui (Cursor, Claude Code, Lovable, Bolt, v0).
Fondateur, Validra
Fondateur de Validra. Je construis des SaaS depuis plus de deux ans et demi, assez longtemps pour avoir vu, de l'intérieur, tous les problèmes de sécurité que l'IA introduit silencieusement dans le code. Les corriger avant qu'ils ne deviennent une fuite de données, c'est devenu une évidence.
5 jours
Délai moyen d'une revue
En cours
Nouveaux audits en cours de réalisation
6
Catégories critiques vérifiées
Niveau de sévérité systématique
Chaque faille classée par impact business réel, pas juste par score technique.
Méthodologie documentée
Scan automatisé + tests manuels d'authentification, RLS, API et stockage.
Une revue. Des conditions claires.
Un engagement unique et ciblé, pas un menu d'options. Pas d'abonnement, pas de contrat, pas d'appel commercial.
Validra Security Review
Une revue de sécurité ciblée et fondée sur des preuves de votre application. Nous cartographions vos surfaces sensibles, menons des tests manuels ciblés, validons chaque résultat, et vous remettons un rapport priorisé et actionnable.
- Surfaces sensibles cartographiées : auth, accès aux données, secrets, API, intégrations tierces
- Tests manuels ciblés, pas un scan automatisé générique
- Chaque résultat validé et classé par niveau de certitude : observation, faiblesse, ou vulnérabilité démontrée
- Rapport priorisé par risque, rédigé en langage clair
- Appel de restitution pour parcourir chaque résultat ensemble
- Recommandations de correction — vous ou votre développeur implémentez les correctifs
- Un retest limité, inclus dans la mission
Comment fonctionne le paiement
Vous payez 395 € pour démarrer. Si la revue ne trouve rien de pertinent dans le périmètre convenu, on en reste là : vous avez payé 395 €. Si elle trouve des problèmes de sécurité, 395 € de plus sont dus avec le rapport. 790 € maximum, jamais plus.
395 € pour démarrer · +395 € seulement si on trouve quelque chose de pertinent (790 € max)
Les résultats sont limités à ce que le périmètre convenu permet de tester. Ceci ne garantit pas l'absence d'autres problèmes et ne constitue pas une certification.
Prenez-le si, pas si.
Prenez-le si…
- Vous lancez cette semaine et voulez une réponse claire go/no-go
- Vous venez de trouver une clé exposée ou une faille RLS et voulez une confirmation
- Une due diligence investisseur ou client arrive bientôt
- Vous avez construit avec Lovable, Bolt ou Cursor et n'avez jamais vérifié les règles d'accès
Ne le prenez pas si…
- Vous êtes en pleine fuite de données là maintenant — écrivez-moi directement plutôt
- Vous avez besoin d'une accréditation HIPAA, SOC 2 ou PCI, pas d'une base technique
- Votre codebase fait 100k+ lignes — parlons d'abord du périmètre
Bonnes questions.
Signez-vous un NDA ?
Oui. Nous signons un accord de confidentialité avant de consulter la moindre ligne de votre code.
Avez-vous besoin d'un accès GitHub ?
Un accès en lecture seule suffit. Nous n'avons jamais besoin de droits d'écriture ou d'administration.
Quels frameworks supportez-vous ?
Next.js, React, Supabase, Firebase, et la plupart des stacks modernes, y compris les outils assistés par IA comme Cursor, Bolt, Lovable et v0.
Combien de temps cela prend-il ?
Environ 5 jours ouvrés à partir de la réception des accès et informations nécessaires.
Pouvez-vous corriger les problèmes ?
Non — nous les identifions, les validons et les priorisons, et vous remettons des recommandations de correction claires. L'implémentation revient à vous ou votre développeur ; cette séparation est ce qui garde la revue indépendante.
Mon code source est-il confidentiel ?
Toujours. Votre code est examiné sous NDA et n'est jamais conservé au-delà de la durée de la mission.
Travaillez-vous avec des projets en pré-lancement, sans utilisateurs réels ?
Oui, c'est même le moment idéal — avant que de vraies données utilisateur ne soient en jeu.
Que se passe-t-il si vous ne trouvez rien de pertinent ?
Vous recevez tout de même le rapport complet, confirmant ce qui a été testé et l'état des surfaces couvertes. Et vous ne payez que les 395 € initiaux — les 395 € restants ne sont dus que si nous avons trouvé des problèmes de sécurité pertinents dans le périmètre convenu.
Combien coûte un audit de sécurité SaaS chez Validra ?
395 € pour démarrer. Si la revue ne trouve rien de pertinent dans le périmètre convenu, c'est le seul paiement. Si elle trouve des problèmes de sécurité, 395 € de plus sont dus avec le rapport, donc 790 € au maximum. À comparer aux milliers d'euros d'un pentest sur devis.
25 erreurs que les outils de code IA commettent encore en production.
6 catégories, 25 failles, en accès libre
Prêt à découvrir ce qui est exposé ?
Recevez un rapport clair et priorisé que vous pouvez appliquer immédiatement.