On reprend le code que personne n'assume.

Une application générée par une IA. Un outil métier écrit par quelqu'un qui est parti. Ça tourne, personne ne le comprend, personne n'ose y toucher. On le diagnostique, on le stabilise, puis on l'assume dans la durée.

2 900 € HT le diagnostic, prix affiché48 h premiers constats60 questions, grille publiqueÀ distance partout en France
Trois situations

Vous reconnaissez la vôtre.

Appli IA

L'application faite avec Lovable, Bolt ou Cursor doit tenir en production.

Elle marche, des clients l'utilisent, et vous ne savez pas ce qu'il y a dedans. Un jour elle plante, ou elle fuit, et le prompt ne répond plus.

Outil hérité

L'outil métier que plus personne ne comprend.

Une application web, un site avec sa base, un fichier Access, un programme VB, un script Python ou C++ : quelque chose qui fait tourner une partie de l'entreprise. Son auteur est parti. Tout le monde a peur d'y toucher.

Équipe

L'équipe qui produit du code plus vite qu'elle ne le relit.

Les agents de code ont multiplié la vitesse. La relecture n'a pas suivi. Personne ne sait plus ce qui est solide.

Un diagnostic, en vrai

On suit le parcours qui porte votre argent ou vos données, de bout en bout.

Voici un vrai diagnostic, mené sur Studio Kerelune, notre application témoin : réservation de séances, paiement en ligne, espace client, comme en produisent les outils d'IA. On l'a construite pour la disséquer en public : aucune application réelle n'est décrite ici, et ce qu'on trouve chez un client reste chez lui. Les défauts qu'on y a placés ont tous été observés dans de vraies applications, et le diagnostic en a trouvé deux qu'on n'avait pas prévus.

LE FIL · L'ARGENT D'UNE SÉANCE Créneauplanning Réserv.place PaiementStripe Retourconfirm. E-mailenvoi Annul.rembours. À CÔTÉ DU FIL Espace admin C E B D G A H
Le fil · l'argent d'une séance
  1. Créneauplanning
    C
  2. Réservationla dernière place
    E
  3. Paiementprix relu côté serveur
    H
  4. Retourconfirmation
    B
  5. E-mailenvoi
    D
  6. Annulationremboursement
    G
Aucune étape ne tient seule · A est dans l'espace admin, à côté du fil
A · CritiqueSécurité

La clé d'administration de la base est livrée à chaque visiteur.

Elle est dans le code envoyé au navigateur. Avec elle, n'importe qui contourne toutes les règles d'accès.

Si on ne fait rien : la base entière est ouverte, clients et paiements compris.
C · CritiqueDonnées

Les règles « allow all » du premier jour n'ont jamais été retirées.

Un visiteur sans compte lit l'e-mail et le téléphone de tous les clients. Un client peut se nommer administrateur.

Si on ne fait rien : une fuite de données personnelles, à déclarer à la CNIL sous 72 heures.
B · CritiqueLogique

Le paiement est déclaré réussi par la page, pas par Stripe.

Une adresse tapée à la main confirme une séance non payée. La signature des messages de Stripe n'est pas vérifiée.

Si on ne fait rien : des séances données, et une base qui ne correspond plus aux encaissements.
G · CritiqueLogique

N'importe quel client peut rembourser n'importe quelle réservation.

La fonction de remboursement ne vérifie pas à qui appartient la réservation. Ce défaut n'avait pas été placé : le diagnostic l'a trouvé.

Si on ne fait rien : le chiffre d'affaires rendu à des clients qui n'ont rien demandé.
E · MoyenLogique

Deux clients peuvent prendre la dernière place.

La vérification et l'écriture sont deux requêtes séparées, et la base n'a aucune contrainte de capacité.

Si on ne fait rien : des cours en surnombre, aux heures de pointe.
D · MoyenExploitation

Les e-mails partent d'un domaine qui n'est pas celui du studio.

Le domaine n'est pas authentifié, et les rebonds sont enregistrés sans jamais être lus.

Si on ne fait rien : des clients qui croient ne pas avoir réservé.
Architecturecomment c'est rangé
Orange
Donnéesce qui se perd
Rouge
Sécuritéqui peut entrer
Rouge
Logiquece qui calcule faux
Rouge
Obsolescencece qui ne sera plus réparable
Orange
Exploitationquand personne ne regarde
Orange
Qualitéce qui se reprend et va vite
Orange
1

Retirer la clé d'administration du code du navigateur et la changer, aujourd'hui.

2

Fermer les règles « allow all » : plus aucune donnée lisible sans compte, plus personne ne se nomme admin.

3

Faire décider le paiement par Stripe, et réserver le remboursement au propriétaire de la réservation.

Rouge : à traiter cette semaine. Orange : dans le mois. Vert : rien d'urgent. Six constats sur dix. Le rapport complet donne les quatre autres, et pour chacun sa preuve, fichier et ligne.
Lire le rapport complet
Le test en soixante secondes

Cinq questions, une première météo.

Pas d'accès au code, pas d'e-mail à donner. Cinq réponses, et vous savez déjà si un diagnostic vaut la peine.

Avez-vous accès au code de votre application, aujourd'hui, sans demander à personne ?

Le nom de domaine, l'hébergement et la base de données sont-ils à votre nom ?

Quelque chose vérifie-t-il automatiquement que l'application marche encore avant chaque mise en ligne ?

Si la personne qui a fait l'application n'est plus joignable, quelqu'un d'autre sait-il la relancer ?

De l'argent ou des données personnelles circulent-ils dans l'application ?

Répondez aux cinq questions.

Accèsle code
Propriétéles comptes
Testsavant la mise en ligne
Savoirqui sait relancer
Enjeuargent, données
Lectureprovisoire

Une lecture provisoire, pas un diagnostic : le diagnostic lit le code. Mais ces cinq réponses disent déjà où vous en êtes.

Ce que vous recevez

Un rapport qui se lit en dix minutes et qui se garde.

01

Trois décisions

Dès la première page, à prendre cette semaine. Un dirigeant agit sur des décisions, pas sur des criticités.

02

La météo des sept axes

Rouge, orange, vert. Lisible en deux secondes sans être développeur.

03

La fiche d'identité

Ce que fait l'application, où elle tourne, qui détient les comptes, ce qu'elle coûte, qui sait.

04

Le fil

Le parcours qui porte votre argent ou vos données, suivi étape par étape, avec ce qui le protège.

05

Les constats, prouvés

Chacun avec sa preuve, son impact, le coût de ne rien faire, la correction et son effort.

06

Ce que vous faites seul

Ce qui ne justifie pas de payer quelqu'un, dit tel quel. C'est ce qui rend le reste crédible.

07

Le plan chiffré

Un jour, une semaine, un mois : ce qui s'estime est estimé, le reste est dit tel quel. Le prix devient ferme au devis.

08

La restitution

Quarante-cinq minutes pour lire le rapport ensemble, et une question : qu'allez-vous faire lundi ?

Ce qu'on fait

Vous savez ce qui ne va pas ? Ou vous voulez savoir ce qu'il y a dedans ?

Vous savez ce qui ne va pas

Intervention ciblée

690 € HTprix ferme · une journée de travail au plus · démarrage sous 5 jours ouvrés
  • Le problème reproduit avant de commencer, sinon on ne prend pas
  • Le périmètre écrit en trois lignes : ce qui est corrigé, comment on le vérifie, ce qui ne l'est pas
  • Une sauvegarde et un retour arrière possible avant toute modification
  • La correction, la preuve qu'elle marche, et une page sur ce qu'on a vu à côté
Acompte de 50 % à la commande, solde à la livraison : pas résolu, solde non dû. Une correction, pas une évolution. Si vous commandez ensuite le diagnostic sous trente jours, son prix en est déduit.
Lancement · 3 places à 1 900 € HT
Vous voulez savoir ce qu'il y a dedans

Diagnostic

2 900 € HTpremiers constats sous 48 h · rapport sous 5 jours ouvrés · à distance, en France
  • Trois décisions à prendre, en première page
  • La météo des sept axes, lisible sans être développeur
  • La fiche d'identité de l'application : où ça tourne, qui détient quoi, ce que ça coûte
  • Les constats prouvés, en général sept à dix, avec le coût de ne rien faire
  • Ce que vous pouvez faire seul, sans nous payer
  • Le plan chiffré, et 45 minutes pour le lire ensemble
Le rapport vaut son prix à lui seul, même si vous faites réparer ailleurs.
Ensuite, si vous le voulez
Comment ça se passe

Le diagnostic, en cinq jours ouvrés.

Jour 0

Vingt minutes d'appel

Cinq minutes pour vérifier, s'il y a un problème précis, qu'il se reproduit ; dix pour écouter ; cinq pour choisir : une intervention ciblée, un problème précis à comprendre, ou une vue d'ensemble. Aucune exploration technique.

Le soir même

Le devis

Le mode, la profondeur par axe, la date de remise du rapport. Le prix reste celui affiché : 2 900 € HT, ou 1 900 € HT en offre de lancement. Acompte de 50 % à la signature, solde à la remise du rapport.

Jour 1

Accès au code

Un accès en lecture, révoqué à la livraison. Analysé sur nos machines ; sans votre accord écrit, jamais dans un service tiers.

48 heures

Premiers constats

Par écrit. Ce qui saigne se voit dans les deux premiers jours ; vous ne restez pas cinq jours sans nouvelles.

Jour 5

Le rapport, lu ensemble

Quarante-cinq minutes de restitution. Vous repartez avec trois décisions et un plan chiffré.

La preuve

Un diagnostic complet, sur une application qui nous appartient.

Diagnostic public n° 1 · l'application témoin

Studio Kerelune, une application construite par Leonox pour être disséquée en public. Premier épisode : le diagnostic.

10constats, dont 4 critiques
6confirmés en exécutant
100 %de l'annexe publiée, fichier et ligne
0risque pour un tiers

Pourquoi une application à nous. Une analyse complète d'un système qu'on ne possède pas n'a rien à faire en public, même anonymisée, même en démonstration. Ce qui se publie ne doit permettre à personne de reproduire une attaque.

L'application témoin a de l'argent et des données personnelles dedans, comme les vôtres. Chacun des défauts qu'on y a placés a été observé dans une vraie application. Le rapport dit aussi ce que le diagnostic a trouvé en plus.

Les diagnostics de nos clients restent privés. Ce qui en sort, ce sont des témoignages, avec accord écrit, et des statistiques anonymes, qu'on publiera à partir du dixième diagnostic : des fréquences, sans nom ni détail reproductible.

Offre de lancement

Trois places à 1 900 € HT, au lieu de 2 900 €.

Le même diagnostic, au complet, pour nos trois premiers clients. Si le diagnostic vous a servi, un témoignage nominatif est le bienvenu : vous le relisez et l'approuvez avant publication, sans aucun détail technique. Il n'est jamais une condition.

3/3
places de lancement disponibles
Réserver ma place
  • Le diagnostic complet. Trois décisions, la météo des sept axes, les constats prouvés, le plan chiffré, la restitution de quarante-cinq minutes. Rien de retiré.
  • 1 900 € HT au lieu de 2 900 €. Premiers constats sous 48 heures, rapport sous cinq jours ouvrés, comme au prix affiché.
  • Un témoignage si vous le voulez. Quelques phrases sur ce que le diagnostic vous a apporté, relues par vous. Rien sur votre code, rien qui permette de vous attaquer. Sans témoignage, le prix reste le même.
  • Une place réservée à l'appel. Vingt minutes pour vérifier qu'on peut vous aider ; si oui, la place est à vous.
Comment on regarde

Sept axes, soixante questions. On répond à toutes.

Y compris par « pas regardé ». Surtout par « pas regardé ». La grille est publique. 29 de ses questions suivent l'OWASP ASVS 5.0, le standard international de vérification de la sécurité des applications ; les 31 autres couvrent ce qui casse sans attaquant, et ce qui rend un code lisible, reprenable et rapide. Ce n'est pas la grille qui vous protège : c'est la preuve derrière chaque réponse, et le nom qui reste après.

5

Architecture

Comment c'est rangé.

  • Qui appelle qui, où vit la logique métier
  • Ce qui manque : validation, gestion d'erreurs, frontières typées
  • Le projet se lance-t-il sur une machine vierge, en combien de temps
9

Données

Ce qui se perd.

  • Règles d'accès table par table, historique des migrations
  • Sauvegardes et dernier test de restauration
  • Données personnelles : lesquelles, où, combien de temps, exportables et effaçables
10

Sécurité

Qui peut entrer.

  • Secrets dans le code, le bundle ou l'historique Git
  • Qui détient les comptes : hébergeur, base, paiement, domaine
  • Fonctions IA de l'application : clé, plafond de dépense, injection
7

Logique et bugs

Ce qui calcule faux.

  • Calculs d'argent, chaîne de paiement de bout en bout
  • Cas limites : vide, doublon, concurrence, fuseau
  • Couverture de tests réelle, ce qui a déjà planté
7

Obsolescence

Ce qui ne sera plus réparable.

  • Versions en fin de vie, bibliothèques abandonnées
  • Verrouillage plateforme, code généré jamais relu
  • Savoir détenu par une seule personne
8

Exploitation

Ce qui se passe quand personne ne regarde.

  • Déploiement et retour arrière, environnements
  • Journaux, surveillance, alertes, et qui les reçoit
  • Coûts mensuels poste par poste, envoi d'e-mails
14

Qualité et performance

Ce qui se reprend, et ce qui va vite.

  • Lisibilité, complexité, duplication, code mort
  • Standards du langage, typage, potentiel de refactorisation
  • Temps de réponse mesuré, requêtes coûteuses, montée en charge
Les questions qu'on nous pose

Avant de réserver, ce que vous vous demandez sûrement.

C'est cher pour un audit.
Ce n'est pas un audit, c'est un plan de décision avec les preuves. Le rapport vous dit quoi faire lundi, ce que ça coûte, et ce que coûte de ne rien faire. Si vous ne l'utilisez pas, il n'a pas marché, et on veut le savoir. Et si vous n'avez qu'un problème, déjà identifié, l'intervention ciblée le corrige pour 690 € HT.
Mon développeur peut le faire.
S'il a le temps et le recul, tant mieux : la grille est publique, donnez-la-lui. Ce qu'on apporte, c'est un regard qui n'a pas écrit le code, et une responsabilité signée.
Lovable scanne déjà mon application.
Oui, et il trouve les erreurs simples. Il ne sait pas quel parcours porte votre argent, ni ce qui casse quand vous changez de projet, ni qui détient vos comptes. Et il ne répond de rien.
Une agence me propose de tout refaire pour 15 000 €.
C'est peut-être la bonne décision. Le diagnostic vous le dira pour 2 900 € HT, avec la preuve. Refaire sans avoir lu, c'est payer deux fois.
Je ne veux pas donner mon code.
Accès en lecture, révoqué à la livraison, lu sur nos machines. Jamais confié à un service tiers ni à une IA sans votre accord écrit ; avec cet accord, nous vous disons quel service et où il est hébergé. Sans IA, le diagnostic reste possible, sur devis : il demande nettement plus de temps. C'est écrit ici et dans le contrat.
Je n'ai pas le code, c'est l'agence qui l'a.
Sans accès au code, on ne peut rien lire, donc rien promettre. Avant de nous appeler, posez une seule question à qui le détient : « puis-je avoir un accès en lecture au code, ou une copie ? » Si la réponse est oui, on démarre. Si la réponse est non, c'est déjà une information importante sur votre situation.
On n'est pas sur Lovable, on est sur Bubble, Base44 ou un vieux VB.
Tant mieux, on lit tout ça. Sur un outil sans code, on lit l'éditeur avec un accès en lecture ; sur un vieil outil, une copie des fichiers suffit. Ce qui compte, c'est ce qu'il y a dedans, pas l'outil qui l'a écrit.
Et si vous n'êtes plus là dans un an ?
Tout ce qu'on installe est à vous : le code, les tests, la documentation, les accès. Le kit de sortie est écrit dans le contrat de garde.
Vous réparez aussi ?
Oui. Si vous savez déjà ce qui ne va pas, l'intervention ciblée corrige un problème précis à 690 € HT, prix ferme, avec la preuve que c'est réglé. Après un diagnostic, la stabilisation est à prix ferme : estimée dans le rapport, fixée au devis. Et vous pouvez faire réparer ailleurs : le rapport est fait pour ça.
Ce n'est pas urgent.
D'accord. La question est : qu'est-ce qui se passe le jour où ça le devient, et qui appelez-vous ? Gardez le lien.
Ce qu'on ne fait pas

Écrit aussi gros que le reste.

Qui

Le nom sur le rapport est le nom qui répond.

Chez Leonox, la personne qui lit votre code est celle qui signe le rapport, celle qui le corrige, et celle que vous appelez six mois plus tard. Pas de junior envoyé en première ligne, pas de sous-traitance cachée.

Nicolas Jaubertou, fondateur. Développeur senior depuis plus de dix ans : écrire du code, et surtout reprendre celui des autres. Il est passé par le développement d'outils de finance de marché, là où une erreur de calcul coûte cher. Aujourd'hui encore, il mène la refonte et l'optimisation des performances d'une application métier qui fait tourner une activité réelle. C'est de là que vient Leonox : comprendre pourquoi un code tient ou lâche, puis le rendre rapide, sûr et lisible, plutôt que de le jeter.

Leonox est une société française, assurée en responsabilité civile professionnelle pour le développement et le conseil en informatique. On la suit aussi sur LinkedIn.

Nos engagements, écrits dans chaque contrat

Accès en lecture, révoqué à la livraison. Une correction vous arrive dans une branche de votre dépôt, que vous relisez avant de l'intégrer.
Code lu sur nos machines. Sans votre accord écrit, il n'en sort pas : ni service tiers, ni IA.
Avec votre accord : un service d'IA sous contrat, qui n'entraîne pas ses modèles sur vos données, hébergé hors de l'Union européenne. Nous vous disons lequel avant de commencer.
Clause de confidentialité dans chaque contrat. Rien n'est publié sans votre accord écrit, et jamais rien qui permette de reproduire une attaque.
Vingt minutes

Vingt minutes pour savoir si on peut vous aider.

Pas d'exploration technique pendant l'appel. On vérifie que le problème se reproduit, on écoute ce qui vous inquiète, on choisit ensemble : une intervention ciblée, ou un diagnostic, sur un problème précis ou en vue d'ensemble. Devis le soir même.

Ne collez pas de code ni de mot de passe dans un e-mail. On vous dira comment nous donner accès, et l'accès sera révoqué à la livraison.