L'application faite avec Lovable, Bolt ou Cursor doit tenir en production.
Elle marche, des clients l'utilisent, et vous ne savez pas ce qu'il y a dedans. Un jour elle plante, ou elle fuit, et le prompt ne répond plus.
Une application générée par une IA. Un outil métier écrit par quelqu'un qui est parti. Ça tourne, personne ne le comprend, personne n'ose y toucher. On le diagnostique, on le stabilise, puis on l'assume dans la durée.

Elle marche, des clients l'utilisent, et vous ne savez pas ce qu'il y a dedans. Un jour elle plante, ou elle fuit, et le prompt ne répond plus.
Une application web, un site avec sa base, un fichier Access, un programme VB, un script Python ou C++ : quelque chose qui fait tourner une partie de l'entreprise. Son auteur est parti. Tout le monde a peur d'y toucher.
Les agents de code ont multiplié la vitesse. La relecture n'a pas suivi. Personne ne sait plus ce qui est solide.
Voici un vrai diagnostic, mené sur Studio Kerelune, notre application témoin : réservation de séances, paiement en ligne, espace client, comme en produisent les outils d'IA. On l'a construite pour la disséquer en public : aucune application réelle n'est décrite ici, et ce qu'on trouve chez un client reste chez lui. Les défauts qu'on y a placés ont tous été observés dans de vraies applications, et le diagnostic en a trouvé deux qu'on n'avait pas prévus.
Elle est dans le code envoyé au navigateur. Avec elle, n'importe qui contourne toutes les règles d'accès.
Un visiteur sans compte lit l'e-mail et le téléphone de tous les clients. Un client peut se nommer administrateur.
Une adresse tapée à la main confirme une séance non payée. La signature des messages de Stripe n'est pas vérifiée.
La fonction de remboursement ne vérifie pas à qui appartient la réservation. Ce défaut n'avait pas été placé : le diagnostic l'a trouvé.
La vérification et l'écriture sont deux requêtes séparées, et la base n'a aucune contrainte de capacité.
Le domaine n'est pas authentifié, et les rebonds sont enregistrés sans jamais être lus.
Retirer la clé d'administration du code du navigateur et la changer, aujourd'hui.
Fermer les règles « allow all » : plus aucune donnée lisible sans compte, plus personne ne se nomme admin.
Faire décider le paiement par Stripe, et réserver le remboursement au propriétaire de la réservation.
Pas d'accès au code, pas d'e-mail à donner. Cinq réponses, et vous savez déjà si un diagnostic vaut la peine.
Avez-vous accès au code de votre application, aujourd'hui, sans demander à personne ?
Le nom de domaine, l'hébergement et la base de données sont-ils à votre nom ?
Quelque chose vérifie-t-il automatiquement que l'application marche encore avant chaque mise en ligne ?
Si la personne qui a fait l'application n'est plus joignable, quelqu'un d'autre sait-il la relancer ?
De l'argent ou des données personnelles circulent-ils dans l'application ?
Une lecture provisoire, pas un diagnostic : le diagnostic lit le code. Mais ces cinq réponses disent déjà où vous en êtes.
Dès la première page, à prendre cette semaine. Un dirigeant agit sur des décisions, pas sur des criticités.
Rouge, orange, vert. Lisible en deux secondes sans être développeur.
Ce que fait l'application, où elle tourne, qui détient les comptes, ce qu'elle coûte, qui sait.
Le parcours qui porte votre argent ou vos données, suivi étape par étape, avec ce qui le protège.
Chacun avec sa preuve, son impact, le coût de ne rien faire, la correction et son effort.
Ce qui ne justifie pas de payer quelqu'un, dit tel quel. C'est ce qui rend le reste crédible.
Un jour, une semaine, un mois : ce qui s'estime est estimé, le reste est dit tel quel. Le prix devient ferme au devis.
Quarante-cinq minutes pour lire le rapport ensemble, et une question : qu'allez-vous faire lundi ?
Cinq minutes pour vérifier, s'il y a un problème précis, qu'il se reproduit ; dix pour écouter ; cinq pour choisir : une intervention ciblée, un problème précis à comprendre, ou une vue d'ensemble. Aucune exploration technique.
Le mode, la profondeur par axe, la date de remise du rapport. Le prix reste celui affiché : 2 900 € HT, ou 1 900 € HT en offre de lancement. Acompte de 50 % à la signature, solde à la remise du rapport.
Un accès en lecture, révoqué à la livraison. Analysé sur nos machines ; sans votre accord écrit, jamais dans un service tiers.
Par écrit. Ce qui saigne se voit dans les deux premiers jours ; vous ne restez pas cinq jours sans nouvelles.
Quarante-cinq minutes de restitution. Vous repartez avec trois décisions et un plan chiffré.
Pourquoi une application à nous. Une analyse complète d'un système qu'on ne possède pas n'a rien à faire en public, même anonymisée, même en démonstration. Ce qui se publie ne doit permettre à personne de reproduire une attaque.
L'application témoin a de l'argent et des données personnelles dedans, comme les vôtres. Chacun des défauts qu'on y a placés a été observé dans une vraie application. Le rapport dit aussi ce que le diagnostic a trouvé en plus.
Les diagnostics de nos clients restent privés. Ce qui en sort, ce sont des témoignages, avec accord écrit, et des statistiques anonymes, qu'on publiera à partir du dixième diagnostic : des fréquences, sans nom ni détail reproductible.
Le même diagnostic, au complet, pour nos trois premiers clients. Si le diagnostic vous a servi, un témoignage nominatif est le bienvenu : vous le relisez et l'approuvez avant publication, sans aucun détail technique. Il n'est jamais une condition.
Y compris par « pas regardé ». Surtout par « pas regardé ». La grille est publique. 29 de ses questions suivent l'OWASP ASVS 5.0, le standard international de vérification de la sécurité des applications ; les 31 autres couvrent ce qui casse sans attaquant, et ce qui rend un code lisible, reprenable et rapide. Ce n'est pas la grille qui vous protège : c'est la preuve derrière chaque réponse, et le nom qui reste après.
Comment c'est rangé.
Ce qui se perd.
Qui peut entrer.
Ce qui calcule faux.
Ce qui ne sera plus réparable.
Ce qui se passe quand personne ne regarde.
Ce qui se reprend, et ce qui va vite.
Chez Leonox, la personne qui lit votre code est celle qui signe le rapport, celle qui le corrige, et celle que vous appelez six mois plus tard. Pas de junior envoyé en première ligne, pas de sous-traitance cachée.
Nicolas Jaubertou, fondateur. Développeur senior depuis plus de dix ans : écrire du code, et surtout reprendre celui des autres. Il est passé par le développement d'outils de finance de marché, là où une erreur de calcul coûte cher. Aujourd'hui encore, il mène la refonte et l'optimisation des performances d'une application métier qui fait tourner une activité réelle. C'est de là que vient Leonox : comprendre pourquoi un code tient ou lâche, puis le rendre rapide, sûr et lisible, plutôt que de le jeter.
Leonox est une société française, assurée en responsabilité civile professionnelle pour le développement et le conseil en informatique. On la suit aussi sur LinkedIn.
Pas d'exploration technique pendant l'appel. On vérifie que le problème se reproduit, on écoute ce qui vous inquiète, on choisit ensemble : une intervention ciblée, ou un diagnostic, sur un problème précis ou en vue d'ensemble. Devis le soir même.
Ne collez pas de code ni de mot de passe dans un e-mail. On vous dira comment nous donner accès, et l'accès sera révoqué à la livraison.