Point de vigilance
Clés dans le code public
Une clé secrète incluse dans le JavaScript public peut être lue par les visiteurs.
Voir les contrôles ↗Pour les applications créées avec l’IA
Ton application fonctionne.
Où sont ses points faibles ?
Repère les points faibles de ton application avant de la lancer. Commence par un diagnostic simple, puis découvre les problèmes à vérifier et les étapes pour les corriger.
✓ Gratuit✓ Sans compte✓ Sans paiement
Un problème repéré. Une prochaine étape.
Exemple fictif de rapport
Une clé pourrait être exposée
Une valeur qui ressemble à un secret dans un fichier public.
Constat · Explication · InstructionsUn accès aux données à vérifier
Vérifier si cet accès public est prévu.
Constat · Explication · InstructionsUne protection de la connexion est absente
Comprendre le risque et savoir quoi faire ensuite.
Constat · Explication · InstructionsTu crées des applications avec l’IA ? Tu es au bon endroit.
Lovable
Bolt
Replit
Cursor
Claude Code
CodexCe qui peut passer inaperçu
Une application qui fonctionne peut quand même laisser des données exposées.
Voici quelques exemples de problèmes à rechercher dans les éléments publics de ton application.
Point de vigilance
Tables Supabase accessibles
Un accès sans compte peut être volontaire. Il faut vérifier quelles données sont concernées.
Voir les contrôles ↗Point de vigilance
Connexion non chiffrée
Une page qui utilise HTTP échange des informations sans les chiffrer.
Voir les contrôles ↗Point de vigilance
Protections du navigateur
Des réglages absents méritent une vérification, même quand l’application fonctionne.
Voir les contrôles ↗Point de vigilance
Ton application affichée sur un autre site
Il faut vérifier si tu souhaites autoriser l’affichage de ton application dans les pages d’un autre site.
Voir les contrôles ↗Point de vigilance
Ce qui reste à vérifier
Le code privé et les droits d’accès entre utilisateurs nécessitent une analyse distincte.
Voir les contrôles ↗Le risque
Une seule fuite peut avoir des conséquences.
Le problème n’est pas toujours visible à l’écran. C’est ce que nous cherchons à repérer.
Un service utilisé à tes frais
Une clé secrète exposée peut permettre à quelqu’un d’utiliser ton compte.
Des données accessibles à trop de monde
Des informations destinées à tes utilisateurs peuvent être visibles sans connexion.
Une protection oubliée
Une application peut fonctionner sans certains réglages de sécurité.
La confiance fragilisée
Une fuite de données peut affecter les personnes qui utilisent ton application.
Des constats précis pour savoir quoi vérifier.
Comment des informations se retrouvent exposées
Ce que le navigateur peut déjà voir.
Un exemple pour comprendre. Aucun fichier de ton application n’est présenté ici.
public / app.js
const client = createClient(…);
const apiKey =
"[SECRET MASQUÉ]";
connect(client);- 01
La page s’ouvre
Le navigateur récupère les fichiers publics nécessaires à l’application.
- 02
Le code public est lisible
Une clé secrète placée dans ces fichiers peut être exposée.
- 03
L’exposition est à vérifier
On repère une valeur suspecte et on la masque. On n’utilise jamais la clé.
- 04
Tu sais quoi examiner
Le rapport explique le constat et la prochaine action.
Comment ça marche
Savoir quoi vérifier. Et comment agir.
Une adresse pour commencer. Des instructions à copier dans ton assistant IA.
Colle l’adresse de ton application
Commence avec l’adresse publique de ton application. Tu n’as pas besoin de connaître les technologies utilisées.
Comprends les résultats
Repère les problèmes confirmés, les points à examiner et les éléments qui n’ont pas été vérifiés.
Corrige avec ton assistant IA
Utilise les instructions du rapport, vérifie les changements et relance un contrôle limité.
Ce que nous vérifions
L’adresse de ton application ne suffit pas à tout vérifier.
Voici les éléments que le diagnostic public peut examiner. Chaque résultat indique ses limites.
Ton premier contrôleAnalyse limitée aux éléments publics
FICHIERS PUBLICS
Recherche de clés secrètes
Recherche de valeurs ressemblant à des clés secrètes dans le HTML et les scripts sélectionnés. Les valeurs sont masquées et les clés ne sont jamais utilisées.
CONNEXION ET NAVIGATEUR
HTTPS / HSTS
Vérifie si la connexion finale utilise HTTPS et si le site demande au navigateur de privilégier HTTPS lors des prochaines visites.
Politique de sécurité du contenu (CSP)
Repère l’en-tête. Sa présence ne prouve pas que la politique est efficace.
Protection contre l’affichage sur d’autres sites
Vérifie si le site limite son affichage à l’intérieur des pages d’un autre site.
Reconnaissance des types de fichiers
Vérifie la présence de nosniff, qui empêche le navigateur de deviner un type de fichier différent de celui annoncé.
ACCÈS AUX DONNÉES
Tables Supabase identifiées
Examine les informations de réponse avec une clé publique, sans télécharger les données des tables.
Ce diagnostic ne couvre pas le code privé, les autres bases de données, les droits d’accès entre utilisateurs ou les éléments non identifiés.
Des instructions prêtes à copier
Le problème. Le risque. La marche à suivre.
Un exemple fictif pour comprendre le rapport. Ton diagnostic affichera uniquement les résultats des vérifications réellement effectuées.
ExempleLa connexion n’est pas chiffrée.
Dans cet exemple, la page utilise HTTP, sans chiffrement. Les informations échangées peuvent être lues ou modifiées pendant leur transmission.
À copier dans ton assistant IA
Vérifie si mon application utilise HTTPS. Si elle reste en HTTP, identifie où configurer HTTPS et la redirection depuis HTTP. Propose le plus petit changement adapté à mon projet, sans publier. Explique comment le tester sur une version de test, vérifier que les fonctionnalités de l’application marchent toujours et revenir en arrière. Demande mon accord avant toute mise en ligne.
Tu gardes la main.
Examine les modifications proposées, teste-les, puis relance le diagnostic.
Un aperçu du rapport
Chaque résultat a son explication.
Un exemple fictif du parcours : du premier problème repéré à la vérification des corrections.
Comprendre les points faibles
Les résultats, avec leurs limites.
- Connexion HTTP observée
- Clé potentiellement secrète à vérifier
- Accès public à vérifier
Relancer la vérification
De nouveaux résultats après une nouvelle vérification.
- Vérifier la connexion HTTPS
- Rechercher à nouveau le type de clé signalé
- Vérifier que les accès publics sont bien prévus
Exemple fictif. Les résultats dépendent de chaque contrôle.
Le coût
Tes options, côte à côte.
Faire appel à un développeur, chercher avec ton IA ou commencer par coller un lien : compare tes options.
Faire appel à un développeur
500 €+
pour une seule analyse
- Un rendez-vous à prévoir, parfois des jours ou des semaines plus tard
- Une nouvelle analyse à prévoir après les modifications
Corriger les erreurs avec l’IA
6 h+
à y consacrer toi-même
- Savoir précisément quoi demander
- Vérifier aussi le fonctionnement de l’application en ligne
WeakSpot
30 secondes
pour ton premier diagnostic gratuit
- Des problèmes expliqués en langage simple
- Des instructions de correction à 9 €, si tu en as besoin
Coûts et délais donnés à titre indicatif : ils varient selon le projet et ne constituent pas des devis. Les 30 secondes sont une estimation. Le diagnostic public ne remplace pas une analyse complète.
Tes accès, tes données
Vérifie ton application. Garde le contrôle.
Ce que l’on regarde. Ce que l’on ne touche pas.
Uniquement ce qui est accessible au public
La page et les scripts publics sélectionnés. Aucun dépôt de code à connecter pour commencer.
Les secrets restent masqués
On signale une valeur qui ressemble à un secret, sans la révéler ni essayer de l’utiliser.
Aucune modification de ton application
Le diagnostic ne crée pas de compte, ne modifie pas les données et ne publie aucun code.
Aucune ligne de données téléchargée
Les contrôles Supabase utilisent uniquement les métadonnées de réponse.
Télécharge et conserve ton rapport
Télécharge le rapport gratuit pour le conserver. Les modalités de livraison du rapport payant et le traitement de tes données sont détaillés dans la politique de confidentialité.
Les limites sont précisées
Le rapport distingue les vérifications effectuées de celles qui n’ont pas été réalisées.
Une offre pour chaque besoin
Commence simplement. Approfondis si nécessaire.
Le diagnostic gratuit et la correction guidée sont disponibles en version bêta. L’investigation approfondie sera proposée plus tard.
Diagnostic express
Comprends les problèmes détectés.
Gratuit
- Recherche de clés secrètes dans les fichiers accessibles au public
- Vérification des accès aux données identifiés et des protections de connexion
- Un rapport à télécharger, avec des explications simples pour chaque problème détecté
Vérifier mon application
Disponible · Email requis pour voir les résultats
Correction guidée
Découvre comment les corriger.
9 €
- Des consignes adaptées aux problèmes relevés dans ton diagnostic gratuit
- Des instructions à copier-coller dans ton assistant IA
- Des étapes pour tester les corrections, puis relancer le diagnostic
Voir la correction guidée
Paiement unique · Instructions disponibles après confirmation du paiement
Investigation IA
Un examen plus approfondi de ton projet.
44 €
- Analyse du code, des réglages et de l’application de test, dans les limites des accès autorisés
- Des problèmes documentés, avec les informations sensibles masquées
- Des consignes de correction et un nouveau contrôle dans le périmètre prévu
Préparer mon projet
Bientôt disponible · Pas encore en vente
FAQ
Tes questions. Nos réponses.
Que peut-on vérifier avec l’adresse d’une application ?
Le diagnostic examine le HTML d’une page, jusqu’à six scripts publics du même site et les réglages HTTP. Il recherche des valeurs ressemblant à des clés secrètes, sans les utiliser. Si ces fichiers permettent d’identifier un seul projet Supabase, sa clé publique et des tables associées, il vérifie au maximum deux tables avec des requêtes HEAD limitées à une ligne : seules les informations de réponse sont examinées, aucune ligne de données n’est téléchargée. Un accès public peut être volontaire et doit être vérifié. Limites : 12 requêtes, 512 Ko par fichier, 3 Mo au total et environ 30 secondes. Les scripts d’autres sites, les fichiers trop volumineux, les tables non identifiées et les droits d’accès entre utilisateurs ne sont pas couverts.
Quelles sont les différences entre les offres ?
Le diagnostic express gratuit analyse les éléments publics accessibles et explique les problèmes observés. La correction guidée à 9 € fournit les solutions : des instructions à copier dans ton assistant IA et les étapes pour vérifier la correction. L’investigation IA prévoit une recherche plus approfondie avec des accès et un périmètre validés. Le diagnostic gratuit et la correction guidée sont disponibles. L’investigation reste en préparation et ne peut pas être achetée.
WeakSpot corrige-t-il mon code ?
Non. Tu copies les instructions dans ton assistant de développement. Tu vérifies ses propositions, les testes sur une version de test de ton application, puis relances les contrôles concernés. Les instructions actuelles sont adaptées aux problèmes relevés à partir de modèles prédéfinis. Elles ne reposent pas sur une analyse de ton code privé par une IA.
Quels accès sont nécessaires ?
Aucun compte n’est nécessaire pour le diagnostic des éléments publics. Une investigation approfondie peut nécessiter un accès en lecture seule au dépôt de code choisi, une version de test de l’application et des comptes de test. Les connexions aux services et le stockage sécurisé des identifiants ne sont pas encore disponibles : n’envoie aucun mot de passe, jeton d’accès ou clé API. L’accès au code et les tests actifs doivent être autorisés séparément.
Comment préparer une application de test ?
Prévois une version de test indépendante, avec des données fictives et des comptes ayant des rôles définis. Retire les clés utilisées en production et limite les droits d’accès. Les étapes dépendent de ton outil de création et de ton hébergeur. Le parcours de préparation ne duplique pas ton projet automatiquement.
Quelles données sont conservées ?
Le diagnostic traite les fichiers publics en mémoire, sans base de rapports ni téléchargement de lignes de table. Les secrets restent masqués. Les domaines déjà scannés sont conservés localement pour la limite de cinq projets gratuits. Un jeton chiffré valable 24 heures permet de préparer la correction guidée dans cet onglet. En cas d’achat, Stripe traite le paiement et une synthèse chiffrée temporaire ; Resend livre le rapport par email. Consulte notre page de confidentialité pour les durées et les détails.
Un rapport sans alerte signifie-t-il que mon application est sûre ?
Non. Cela signifie uniquement qu’aucun problème n’a été détecté dans les contrôles effectués. Les contrôles non réalisés sont indiqués séparément. Aucun diagnostic ne garantit une détection exhaustive.
Avant le lancement
Avant de lancer ton application, vérifie-la une dernière fois.
Diagnostic express gratuit. Sans garantie de détecter toutes les failles.