afterthevibe

Audit de sécurité pour sites vibe-codés

Internet n'est pas le pays des Bisounours.

Dès la minute où votre site est en ligne, il est attaqué. Pas par un ennemi. Par des robots qui essaient toutes les portes de tous les sites, toute la journée, tous les jours.

L'IA vous a aidé à le construire vite. Elle n'a pas vérifié qui peut y entrer. Moi, si.

Faire auditer mon site Voir les attaques

access.log
  • GET/.env404
  • GET/.git/config404
  • GET/.env.production404
  • GET/.env.bak404
  • GET/.aws/credentials404
  • GET/app/.env404
  • GET/api/.env404
  • GET/backend/.env404
  • GET/credentials.json404
  • GET/service-account.json404
  • GET/phpinfo.php404
  • GET/laravel/.env404
  • GET/admin/.env404
  • GET/config.php404
  • GET/.git-credentials404
  • GET/wp-config.php404
  • GET/.git/HEAD404
  • GET/google-credentials.json404
  • GET/.gitlab-ci.yml404
  • GET/.env.swp404
  • GET/wp-login.php404
  • GET/wp-config.php.bak404
  • GET/dump.sql404
  • GET/database.sql404
  • GET/backup.sql404
De vraies requêtes. Ici, elles ont toutes reçu une 404. Et sur votre site ?

Personne ne vous vise. Tout le monde vous vise.

Voici ce qu'un de mes petits sites a reçu en 7 jours. Il n'est pas connu. Il était simplement en ligne.

Mesuré sur mon propre serveur, du 5 novembre 2026 au 12 novembre 2026. Soit 39 % des 25 222 requêtes reçues.

Ce qui casse après le vibe

L'IA écrit du code qui marche. Marcher ne veut pas dire être sûr. Voici les failles que je trouve le plus souvent.

  1. 01

    Une clé laissée en clair

    Des clés d'API et des jetons dans le code de la page, dans un dépôt public ou dans un vieux commit. Les robots les trouvent en quelques minutes et dépensent votre argent.

  2. 02

    Une base de données lisible par tous

    Supabase ou Firebase avec les règles par défaut. Les données de tous vos utilisateurs sont à une requête près, sans mot de passe.

  3. 03

    Des contrôles seulement à l'écran

    Le bouton est caché mais l'API répond toujours. On change un numéro dans l'adresse et on lit le compte d'un autre.

  4. 04

    Des fichiers qui ne devraient jamais sortir

    .env, .git, sauvegardes, pages de debug. Servis à qui les demande. Vous avez vu les chiffres plus haut.

  5. 05

    Aucune limite

    Connexion, inscription et API payantes sans limite de débit. Les mots de passe se devinent et la facture explose en une nuit.

  6. 06

    Aucun retour en arrière

    Pas de sauvegarde qui fonctionne, pas de journaux, pas d'alerte. Ce sont vos utilisateurs qui vous apprennent la fuite.

Vous stockez des données personnelles ? Vous êtes responsable.

Une adresse e-mail est une donnée personnelle. Un nom, un numéro de téléphone ou une adresse IP aussi. Le jour où vous en collectez, la loi s'applique à vous, même pour un projet perso.

  • Vous devez les protéger

    L'article 32 du RGPD impose des mesures de sécurité adaptées au risque.

  • Vous devez déclarer une fuite

    À la CNIL sous 72 heures (article 33), et aux personnes concernées quand le risque est élevé pour elles (article 34).

  • Vous risquez une amende

    Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83). Les petites structures sont sanctionnées aussi.

  • Vous risquez le pénal

    L'article 226-17 du code pénal punit le défaut de sécurisation de cinq ans d'emprisonnement et de 300 000 euros d'amende.

  • « C'est l'IA qui l'a écrit » n'est pas une défense

    Le site est à vous. La responsabilité aussi.

Ceci n'est pas un conseil juridique. C'est la raison de prendre la sécurité au sérieux avant qu'il n'arrive quelque chose.

Un audit humain, par quelqu'un qui administre des serveurs

Un ingénieur senior lit votre site comme le ferait un attaquant, puis vous dit exactement quoi corriger.

  1. 1

    Vous m'écrivez

    Envoyez l'adresse, ce que fait le site et les données qu'il stocke. Je réponds avec un périmètre, une date et un prix convenu avant de commencer.

  2. 2

    J'attaque, avec votre accord

    Vous signez une autorisation écrite. Je teste le site en ligne depuis l'extérieur, puis je lis le code et la configuration : hébergement, base de données, clés.

  3. 3

    Vous recevez un rapport utilisable

    Chaque faille classée par risque, avec la correction expliquée simplement. Donnez-le à votre IA, corrigez, et je vérifie à nouveau.

Ce que je regarde

Qui audite votre site

Je suis Alexandre Roux, ingénieur logiciel senior. J'écris et je relis du logiciel serveur en C et en Python, exposé à Internet tous les jours, et j'administre l'infrastructure qui le fait tourner : Linux, Kubernetes, Ansible, Terraform.

Je gère aussi mes propres sites sur mes propres serveurs. Les chiffres de cette page viennent de l'un d'eux.

Avant que quelqu'un d'autre ne l'audite à votre place

Donnez-moi l'adresse de votre site, ce qu'il fait et s'il stocke des données personnelles. Je réponds avec un périmètre et un prix.

contact@afterthevibe.dev