Gratuit
0 €
- Surface publique (HTTPS, en-têtes, exposition du code)
- Configuration
- Accès réel entre comptes
- Contournement de rôle
- Intégrations sensibles (paiement, données)
- Testé par un expert
Audit de sécurité pour applications Lovable et Supabase
Vos tables sont-elles lisibles sans connexion ? Un client peut-il lire les commandes d’un autre ? Je le vérifie avant qu’un attaquant ne le fasse.
Demander mon auditExpert certifié Lovable L5 Diamond · Fortinet NSE 3 · Méthode OWASP
Ce que l’étude Crissy Field a montré
Sur 159 041 projets Lovable analysés entre décembre 2025 et septembre 2026, 24 664 sites envoient des données de leur base dès l’ouverture de la page, sans connexion. Des adresses e-mail ont été trouvées dans 10 560 tables, sur 7 403 de ces sites.
Le scan de Lovable et l’audit : deux niveaux
| Scan de sécurité Lovable (gratuit, à chaque publication) | Audit sur mandat |
|---|---|
| Lit le code et la configuration | Teste l’application en fonctionnement |
| Signale les tables sans RLS et les règles trop ouvertes | Vérifie qu’un compte ne lit jamais les données d’un autre |
| Fonctionne sans comptes de test | Utilise deux comptes de test de rôles différents |
| Liste d’alertes | Rapport priorisé avec preuves et corrections |
Ce que je teste
Règles RLS, table par table
Lecture, écriture, mise à jour et suppression sans connexion.
Accès entre comptes
Un client, un vendeur ou un livreur ne voit que ses propres lignes.
Contournement de rôle
Un utilisateur standard n’obtient jamais les droits d’administration.
Fonctions serveur (edge functions)
Aucune action sensible sans authentification.
Stockage de fichiers
Aucun document privé accessible par lien direct.
Clés et secrets
La clé service_role n’apparaît jamais dans le code envoyé au navigateur.
Méthode OWASPNotation Mozilla ObservatoryExpert certifié L5 DiamondFortinet NSE 3 (Cybersecurity)
Ce que vous recevez
Un rapport d’expert : chaque faille prouvée, sa gravité et la marche à suivre, classées par priorité.
Un document à montrer à vos clients, partenaires et investisseurs : la preuve que vous prenez la sécurité au sérieux.
Bilan sous 5 jours ouvrés : analyse approfondie et tests d’accès sur mandat.
Les formules
Diagnostic express
490 €HT
- Surface publique (HTTPS, en-têtes, exposition du code)
- Configuration
- Accès réel entre comptes
- Contournement de rôle
- Intégrations sensibles (paiement, données)
- Testé par un expert
Audit sur mandat
dès 1 499 €HT
- Surface publique (HTTPS, en-têtes, exposition du code)
- Configuration
- Accès réel entre comptes
- Contournement de rôle
- Intégrations sensibles (paiement, données)
- Testé par un expert
Prix final selon le nombre de rôles et d’intégrations.
Audit réalisé à distance, en France et à l’international.
Une faille d’accès coûte bien plus qu’un audit : données exposées, clients perdus, obligations RGPD. L’audit les prévient.
Demander mon auditQuestions fréquentes
Le scan de sécurité de Lovable suffit-il ?
C’est une première barrière utile, à ne jamais ignorer. Il analyse le code et la configuration, sans tester l’application en fonctionnement. Il ne vérifie pas si un client connecté peut lire les données d’un autre.
Ma clé Supabase est visible dans le navigateur, est-ce grave ?
La clé publique (anon) est faite pour être visible. Ce qui protège vos données, ce sont les règles RLS de chaque table. La clé service_role, elle, ne doit jamais apparaître côté navigateur.
Qu’est-ce que la RLS ?
Row Level Security : des règles définies table par table qui décident qui peut lire ou modifier chaque ligne. Sans elles, une table est lisible par toute personne disposant de la clé publique.
Lovable Cloud est-il concerné ?
Lovable Cloud repose sur Supabase : les mêmes règles d’accès s’appliquent et se vérifient de la même façon.
Combien coûte un audit ?
Diagnostic express à 490 € HT, rapport court sous 72 h. Audit sur mandat à partir de 1 499 € HT, selon le nombre de rôles et d’intégrations.
Que dois-je fournir ?
L’adresse de l’application et, pour l’audit sur mandat, deux comptes de test de rôles différents. L’accès au projet est facultatif : il sert seulement si vous souhaitez que j’applique les corrections.