Pour les fondateurs, développeurs indépendants et petites équipes qui ont livré vite grâce aux outils de code par IA et doivent maintenant savoir si un utilisateur peut atteindre les données d’un autre.

Avant le lancement, avant d’encaisser des paiements ou avant d’accueillir vos premiers clients professionnels.

Ce que nous examinons

Examiner l’inscription, la connexion, les sessions et la réinitialisation du mot de passe.
Vérifier qui peut lire et modifier les données de qui, y compris les règles par ligne et par objet dans Supabase, Firebase ou votre propre API.
Rechercher les secrets et clés d’API exposés dans le client, le dépôt ou un stockage public.
Tester les parcours de paiement, de webhooks et d’administration qui font trop confiance au client.

Déroulement d’une mission

Envoyez un bref descriptif

Le produit, ce qui a changé, ce que vous devez savoir et pour quand. Un paragraphe suffit ; je réponds sous trois jours.

Recevez une proposition écrite

Périmètre, méthode, exclusions, livrables, prix et calendrier. La confidentialité, le NDA et les conditions de contre-audit sont fixées dans cette même proposition.

Suivez les travaux au fil de l’eau

Pour un audit, vous voyez les preuves et les priorités dès qu’elles apparaissent. Pour un développement, vous validez les jalons convenus.

Rapport et restitution

Vous recevez le rapport ou le livrable, puis une restitution avec votre équipe. Toute correction ou vérification complémentaire est convenue avec vous.

Les vulnérabilités que j’ai signalées

J’ai signalé plus de 150 vulnérabilités de sécurité, dont sept dans Facebook et Instagram que Meta a validées et reconnues. Votre application bénéficie du même regard d’attaquant : authentification, droits d’accès et logique métier entre les deux.

Voir les références

Questions avant de commencer

Est-ce la même chose qu’un scan automatisé ?

Non. Les scanners et les outils de revue par IA repèrent des motifs courants. Je teste l’application comme le ferait un attaquant : je crée un compte, je passe d’un compte à l’autre et j’essaie d’atteindre des données qui ne m’appartiennent pas.

De quoi avez-vous besoin ?

L’URL de l’application, deux comptes de test avec des rôles différents et, si possible, un accès en lecture au dépôt et aux réglages du backend. Merci de ne pas envoyer de mots de passe de production par e-mail.

Quelles technologies couvrez-vous ?

Des applications créées avec des outils comme Cursor, Lovable, Bolt, Replit, v0 ou Copilot, généralement sur Next.js, React, Supabase, Firebase ou une API Node.js. Indiquez-moi votre stack et je vous confirmerai l’adéquation.

Sous quel délai répondez-vous ?

Sous trois jours au plus. Vous recevez des questions sur votre produit ou les grandes lignes d’une proposition.

Combien cela coûte-t-il ?

Les tarifs publiés sont des prix de départ. Le prix final dépend du périmètre et de la complexité technique ; il est fixé dans la proposition écrite avant le démarrage.

Combien de temps cela prend-il, et quand pouvez-vous commencer ?

La durée et la date de démarrage dépendent du périmètre, de la complexité technique et de ma charge de travail. La proposition indique les dates.

Pouvons-nous travailler sous NDA ?

Oui. Les conditions de confidentialité, y compris un NDA si vous en avez besoin, sont fixées dans la proposition avant que vous ne partagiez du code, des identifiants ou des vulnérabilités.

Un contre-audit est-il prévu ?

Le contre-audit est convenu pour chaque mission dans la proposition : quelles vulnérabilités, quelle version et dans quel délai.

Travaillez-vous avec des agences ?

Oui. Les agences peuvent faire appel à moi pour le projet d’un client. Les conditions de livraison, y compris les rapports en marque blanche, sont fixées au cas par cas dans la proposition.

Audit de sécurité des applications générées par IA