Sécurité Base44 : ce qu’un scan signale, et ce qui dépend de vous

Vous avez scanné votre appli Base44 et le rapport est revenu avec un B, et trois lignes ambrées en dessous : des en-têtes de sécurité manquants, une API ouverte à n’importe quel site, et votre code source original publié. Ou quelqu’un de technique a regardé pour vous et a dit les trois mêmes choses d’une voix plus inquiète. Pour une appli dont vous n’avez jamais lu le code, la dernière est celle qui frappe le plus fort.

Voici la partie que guide après guide sur la sécurité Base44 se trompe : presque chaque ligne de ce rapport parle de Base44. Trois des quatre signalements qui apparaissent sur presque chaque appli sont fixés par la plateforme, pour chaque appli qu’elle héberge. Et l’un des trois est une phrase que notre propre scan formule mal. Cet article existe parce que nous sommes retournés lire ce qu’il avait trouvé.

Voyez votre appli comme un appartement dans un immeuble qui appartient à Base44. Un scan lit l’immeuble depuis la rue. La serrure de la porte d’entrée, l’enseigne au-dessus, la règle sur qui peut regarder par les fenêtres : c’est le propriétaire de l’immeuble qui les a décidées, et chaque appartement les partage. Ce que vous avez apporté est une liste plus courte, et le reste de cet article parcourt le rapport ligne par ligne pour dire ce qui relève de qui.

Ce qu’un scan de sécurité Base44 trouve sur presque chaque appli

Trois signalements sur presque chacune, un quatrième sur environ la moitié, et les quatre décidés par Base44.

En août 2026, nous avons lancé les neuf mêmes vérifications sur 30 998 applis vibe-codées en ligne, dont 5 438 publiées sur Base44. Les 5 438 manquaient d’en-têtes de sécurité. 5 417 ont répondu à une requête venue d’un site inventé avec un en-tête CORS joker. 3 229 d’entre elles, 59 %, servaient une source map. 2 705 avaient une adresse, nommée dans le code même de l’appli, qui répondait à une requête sans connexion et renvoyait des données.

Chaque pourcentage porte sur les applis où la vérification a obtenu une réponse, ce qui explique que les bases diffèrent légèrement du nombre d’applis. Une vérification qui n’a pas pu atteindre une appli laisse cette appli de côté. Elle n’est jamais comptée comme propre.

Lisez la ligne Base44 face à la ligne Lovable. Sur Lovable, les deux premiers signalements n’apparaissent presque jamais, parce que l’hébergement de Lovable règle les deux dans l’autre sens. Sur Base44, ils apparaissent presque à chaque fois. Une colonne aussi uniforme sur des milliers d’applis dont les propriétaires ne se sont jamais parlé, c’est à cela que ressemble un réglage de plateforme vu de l’extérieur. Personne ne l’a choisi dans sa propre appli.

Les deux dernières colonnes se décident à l’intérieur de chaque appli, et elles racontent l’autre moitié. Une clé dans le code compressé est apparue sur 2 % des applis Base44 contre 4 % des applis Lovable, et 2 applis Base44 sur 5 438 ont eu un D, contre 407 applis Lovable sur 18 554. Ces deux applis Base44 sont dans la dernière section.

Le signalement de source map sur une appli Base44, c’est le badge

Chaque source map qui répondait sur les applis Base44 que nous avons rouvertes appartenait au script du badge de Base44. Aucune ne contenait le code du propriétaire.

Une source map est un fichier qu’un outil de build écrit à côté du JavaScript compressé que votre site sert. Elle contient les fichiers d’origine, leurs noms et chaque commentaire, pour qu’une erreur puisse pointer la ligne que vous avez écrite plutôt que le caractère 48 000 d’une seule ligne immense. Quand la map est publiée, quiconque appuie sur F12 lit le projet tel qu’il apparaissait dans l’éditeur, et notre article précédent explique ce que cela coûte sur une appli dont la map est la vôtre.

Sur Base44, la map est à quelqu’un d’autre. Le 16 septembre 2026, nous sommes retournés sur 30 applis que notre scan d’août avait signalées et nous avons lu ce que chaque map contenait. Sur 27 d’entre elles, la seule map qui répondait était /static/js/badge.js.map, la map du petit script qui dessine le badge de Base44 sur la page, et ce qu’elle révèle, c’est le code de Base44 pour ce badge. Sur les 3 autres, aucune map ne répondait. Sur aucune des 30, une map ne couvrait les fichiers du propriétaire. Ces fichiers sont partis compressés et sans map sur chaque appli que nous avons ouverte, le premier fichier que la page charge comme chaque morceau qu’elle charge ensuite.

Les 59 % comptent donc autre chose que du code publié. Sur les 30 applis signalées, 27 des 28 qui répondaient portent encore le script du badge dans leur page, et sur 30 applis jamais signalées, 29 ne le portent pas. Le chiffre qui se lit « trois applis Base44 sur cinq publient leur code » est plus proche de « trois applis Base44 sur cinq affichent le badge ».

Reste une ligne de notre propre rapport dont nous devons répondre. Elle dit « Votre code source original est publié », et sur une appli Base44 elle est vraie pour un fichier et fausse pour votre appli. La vérification a fait ce pour quoi elle a été construite : suivre l’adresse au bas d’un script et compter une map qui répond. Ici, le script appartient au propriétaire de l’immeuble. Sur Lovable, Replit et Bolt, la même ligne veut dire ce qu’elle dit. Sur 11 applis signalées de ces outils que nous avons rouvertes, 9 servaient une map des propres pages et composants du propriétaire, et sur les 2 autres, plus aucune map ne répondait.

Ce que cela signifie pour vous : rien de vous n’est dans cette map. La vérification qui vaut la peine, c’est l’autre : savoir si quelque chose que vous avez collé dans l’appli se trouve dans le fichier compressé que chaque visiteur reçoit déjà. C’est plus bas.

Notre scan gratuit lit votre appli Base44 en ligne depuis l’extérieur, les neuf vérifications, en 20 secondes environ et sans compte, et écrit « Impossible à vérifier » pour tout ce à quoi il n’a pas pu répondre, au lieu d’une coche : scannez votre appli.

Le joker CORS : Base44 le fixe, et rien de privé ne répond derrière

Vous ne pouvez pas le changer, et sur les applis Base44 que nous avons regardées, il n’y a aucune donnée privée derrière.

Le signalement, c’est une ligne dans les réponses de votre serveur, Access-Control-Allow-Origin: *, qui dit au navigateur d’un visiteur qu’une page de n’importe quel autre site peut lire cette réponse-là. La documentation de Base44 dit d’où elle vient (lue le 16 septembre 2026) : « Per-app CORS configuration is not currently available. Base44 manages CORS at the platform level. » Chaque appli de la plateforme l’envoie, et c’est ainsi que 5 417 applis sur 5 419 se sont retrouvées avec le même signalement.

Qu’un joker compte ou non dépend de ce qui répond derrière, et l’article plus long explique pourquoi. En bref : l’en-tête arrive après que la réponse a déjà été envoyée, et seul un navigateur le lit, donc le resserrer empêcherait les pages des autres sites de lire votre appli, et personne d’autre. Ce qui se trouve derrière sur une appli Base44, c’est l’appli elle-même, la page, le code compressé, le badge, que chaque visiteur télécharge de toute façon.

Le quatrième signalement est l’endroit où un joker compterait. Sur 2 705 applis Base44, environ la moitié, une adresse nommée dans le code de l’appli répondait à une requête sans connexion et renvoyait des données. Nous en avons rouvert 12 le 16 septembre. Sur six, plus rien ne répondait. Sur les six autres, l’adresse qui répondait était à chaque fois la même, /api/consent/config, et ce qu’elle renvoie, ce sont les réglages de consentement aux cookies de l’appli : si une bannière de consentement est activée, quelles règles régionales s’appliquent, pendant combien de mois la réponse est retenue. C’est de la configuration. Les lignes de personne ne s’y trouvent.

Vos données ne voyagent pas par ce chemin sur Base44. Votre appli interroge le backend de Base44, le backend applique les règles de permission que vous avez posées sur chaque table, et la réponse revient par la même porte. Un scan de l’extérieur ne peut pas voir ces règles du tout, et c’est pour cela que le guide Base44 consacre son temps à ce qu’un inconnu peut atteindre, et vous laisse vos règles.

Ce qui dépend de vous sur une appli Base44

Une liste courte, et les deux notes D du relevé en viennent.

Une clé que vous avez collée. 103 des 5 438 applis Base44, 2 %, servaient quelque chose en forme de clé dans le code que chaque visiteur télécharge. 95 d’entre elles étaient des clés d’API Google, qui demandent généralement une restriction dans Google Cloud, et pas de rotation. L’une était une clé secrète Stripe, et cette appli a eu un D. Base44 garde ses propres identifiants sur son serveur, donc une clé dans votre bundle en est une que vous ou l’outil avez ajoutée pour une fonction : une carte, une balise d’analytics, un formulaire de paiement. Savoir de quel type il s’agit se lit en une minute, et une clé secrète se renouvelle là où elle a été émise avant de sortir du code.

Les règles de permission sur vos tables. Base44 les appelle data access rules, et elles décident qui peut lire et modifier chaque type d’enregistrement. Personne de l’extérieur ne peut les tester, nous compris, et c’est le seul endroit où un scan externe doit laisser un blanc. Le propre scan de sécurité de Base44 les lit, lui, et sa documentation dit qu’il est disponible dans chaque formule, y compris la gratuite.

Tout ce que vous avez connecté vous-même. L’autre D du relevé était une appli Base44 avec un projet Supabase à elle, et dedans une table nommée comme des données personnelles, qui répondait à une requête sans connexion. Connectez votre propre base et les règles par ligne habituelles s’appliquent en entier, parce que ce projet répond directement à internet.

Ce que vous pouvez changer depuis Base44

Deux en-têtes, vos règles de table et vos clés. Le reste est fixé pour chaque appli de la plateforme.

La documentation de Base44 liste ce que vous pouvez activer (lue le 16 septembre 2026). Dans le tableau de bord de votre appli, sous Security puis l’icône des réglages, vous pouvez activer deux en-têtes de sécurité. Prevent Embedding pose X-Frame-Options, qui empêche votre appli d’être affichée dans la page d’un autre site. Restrict Browser Features pose Permissions-Policy, qui limite ce que votre appli peut demander au navigateur, caméra et position comprises. Si des gens se connectent à votre appli et peuvent faire quelque chose de lourd de conséquences en un clic, activez le premier. La même page dit que Content-Security-Policy et Strict-Transport-Security « are not configurable at the individual app level ». C’est l’essentiel du signalement sur les en-têtes, et il est hors de vos mains.

Le propre scan de Base44 couvre l’intérieur : problèmes de permissions sur les données, secrets exposés, fonctions backend sans vérification de connexion, dépendances et, à partir de la formule Builder, vulnérabilités du code. Sa documentation ne mentionne ni les source maps ni l’en-tête CORS, ce qui est honnête, puisque les deux appartiennent à la plateforme. Un scan externe couvre ce qui est remis au navigateur d’un visiteur, et sur une appli Base44, c’est là que la liste est la plus courte.

Quoi faire maintenant

Publier sur Base44, c’est un clic dans la barre du haut, et rien entre ce clic et internet ne relit l’appli à la recherche d’une clé collée pour faire marcher une fonction. Un scan lancé le mois dernier décrit l’appli du mois dernier.

Reeve Monitor est construit pour cela. Il relance les neuf vérifications toutes les heures sur trois applis au plus, surveille la disponibilité toutes les 60 secondes, vous prévient quand un résultat change au lieu d’attendre que vous alliez voir, et envoie un rapport mensuel. Il coûte €12 par mois au tarif de base, avec sept jours gratuits avant de vous facturer ; la page des tarifs est parfois en dessous du chiffre donné ici et jamais au-dessus. Monitor surveille et rien de plus, ce qui, pour une appli Base44, est la moitié qui convient : Care, notre formule de sauvegarde, ne sauvegarde que des projets Supabase, et une appli Base44 garde ses données dans Base44, sauf si vous avez connecté un projet à vous.

Le guide en langage clair pour cette plateforme est Votre appli Base44 est-elle sûre ?, et la checklist de sécurité en 10 minutes couvre ce qui vaut la peine d’être vérifié sur toute appli fraîchement lancée, quel que soit l’outil qui l’a construite.