Replit est-il sûr ? Ce que 3 042 applications Replit nous ont montré

Vous avez construit quelque chose sur Replit, cela fonctionne, et vous êtes sur le point d’y mettre de vraies personnes. Quelque part dans cette semaine, vous avez tapé « replit est-il sûr » dans un champ de recherche, et ce qui est revenu était soit une page sur les certifications de Replit, soit une page sur un agent IA qui a supprimé une base de données. Aucune des deux n’a dit un mot sur l’application que vous allez publier.

Voici ce que la plupart de ces réponses ratent : « Replit est-il sûr ? », ce sont trois questions dans une seule phrase, et celle qui décide si des inconnus peuvent lire les données de vos utilisateurs est celle que presque personne ne mesure.

Nous pouvons la mesurer. Entre le 12 et le 14 août 2026, nous avons passé 30 998 applications en ligne par les neuf mêmes vérifications externes que n’importe qui peut lancer gratuitement sur notre page d’accueil, et 3 042 d’entre elles étaient publiées sur Replit. Voici ce qui en est ressorti pour celles-là, et là où notre regard s’arrête.

Replit est-il sûr ?

En tant qu’hébergeur, ce n’est pas là que se trouvaient les trouvailles. Les deux choses que nous pouvons voir de l’hébergement depuis l’extérieur sont revenues propres sur chaque application qui a répondu, et les neuf applications notées D ou F y sont toutes arrivées par quelque chose à l’intérieur de l’application.

Voyez Replit comme une boutique louée avec un atelier à l’arrière. Le propriétaire possède l’immeuble et la serrure de la porte sur rue. Celui qui a aménagé la boutique a décidé où vont les étagères et comment l’arrière-boutique communique avec le devant. Et ce qu’un passant peut atteindre depuis le trottoir, c’est vous qui le décidez, chaque fois que vous ouvrez. Ce sont trois questions différentes, et une bonne réponse aux deux premières ne dit rien de la troisième.

1. La plateforme. Replit héberge-t-il votre application correctement : un certificat valide, un domaine qui n’expirera pas, des secrets chiffrés et hors de vos fichiers. C’est le propriétaire.
2. L’agent. Le code que l’IA de Replit écrit est-il sûr. C’est l’artisan, et aucun scan depuis l’extérieur ne peut voir le câblage.
3. L’application que vous avez publiée. Ce qu’un inconnu peut atteindre depuis la rue : une clé dans le code qu’un navigateur télécharge, une route d’API qui répond sans connexion, un fichier qui n’aurait jamais dû avoir d’URL.

Nos vérifications lisent la troisième. Sur la première, le certificat était valide sur les 3 028 applications où nous avons pu en lire un, et aucun domaine sur 3 042 n’était proche de l’expiration. Sur la deuxième, nous n’avons rien à mesurer, et la section qui lui est consacrée plus bas le dit.

Ce que nous avons trouvé dans 3 042 applications Replit

Neuf vérifications, lancées depuis l’extérieur, sans connexion et sans accès au compte de qui que ce soit. Nous n’avons jamais lu une ligne : là où une base de données a répondu, nous lui avons demandé combien de lignes elle remettrait et nous nous sommes arrêtés là. Aucune application n’est nommée ici ni nulle part ailleurs chez nous. Chaque part ci-dessous porte sur les applications pour lesquelles cette vérification a répondu, parce qu’une vérification qui n’a pas pu aboutir est inconnue plutôt que réussie, et cette règle explique pourquoi les dénominateurs bougent. La méthode et les données sont dans le rapport.

Les notes : 2 789 A, 183 B, 61 C, 8 D et 1 F. Trente et une applications n’avaient aucune trouvaille.

Pourquoi « 99 % avaient une trouvaille » veut dire peu ici

Parce que 2 924 de ces trouvailles sont la même, et c’est la ligne la moins urgente qu’un rapport puisse porter.

Les en-têtes de sécurité du navigateur sont envoyés par ce qui sert votre page. Sur le domaine propre d’un builder, c’est le builder, ce qui explique le chiffre de 96 % ici, 99 % sur Lovable et 100 % sur v0, et pourquoi chaque application sur le même hôte obtient la même réponse. Replit est l’un des rares endroits où vous pouvez changer cela : si votre application fait tourner son propre serveur, c’est ce serveur qui envoie les en-têtes, et les ajouter tient en quelques lignes. Cela vaut la peine, et ce n’est pas de cela qu’un D est fait.

Retirez cette ligne, et 1 798 des 3 042 applications n’avaient rien qui découle de ce qui avait été construit. Les 1 244 autres sont là où vit le reste de cet article.

La trouvaille typique de Replit : une route d’API à vous

La chose la plus fréquente que nous ayons trouvée et qu’un propriétaire avait mise là lui-même, c’est une route sur le propre serveur de l’application qui répondait à un inconnu avec des données. 1 050 applications sur 3 037 en avaient au moins une.

Une application Lovable, c’est un front plus une base de données que quelqu’un d’autre fait tourner. Une application Replit, c’est le plus souvent toute la boutique : la page, et derrière elle un serveur qui parle à la base de données, dans le même projet et souvent écrits dans la même session. La septième de nos neuf vérifications lit les chemins d’API inscrits dans le JavaScript de votre application, /api/orders, /api/users, ce qu’elle trouve, et demande à chacun, sans connexion, s’il répond. Sur Lovable, cela s’est déclenché sur 8 applications sur 18 518, parce qu’il n’y a généralement aucun serveur du propriétaire à interroger. Sur Replit, sur 1 050.

Elle est notée moyenne parce que c’est parfois exactement ce qu’il faut. Une route qui renvoie votre liste publique de produits doit répondre à tout le monde. C’est faux quand la route est /api/users et que la réponse est vos utilisateurs avec leurs adresses e-mail, et vous l’apprenez parce que n’importe qui peut ouvrir cette adresse dans un onglet et la lire. Une route qui doit être privée a besoin d’une vérification de connexion, et tous ceux qui n’en ont pas reçoivent un 401.

Dans la boutique, c’est la porte de derrière qui s’ouvre depuis la rue. Si vous avez utilisé Supabase, c’est la même défaillance que vous avez vue décrite comme une table sans Row Level Security, sous une autre forme. Les lignes sont lisibles parce que rien entre l’inconnu et les données n’a demandé qui il était.

Deux trouvailles plus petites l’accompagnent. 76 applications ont dit à n’importe quel site du monde qu’il pouvait appeler leur API, et 56 de plus l’ont permis avec les cookies de connexion du visiteur attachés, ce qui est la version qui laisse un autre site agir en tant que votre utilisateur et celle qui est rarement juste.

De quoi est fait « 7 % ont livré un secret »

Surtout de clés Google. 219 des 3 042 applications avaient quelque chose en forme de clé dans le code qu’un visiteur télécharge, et 200 d’entre elles étaient une clé d’API Google, ce qui est généralement sans problème une fois qu’elle a été restreinte à votre propre domaine. Trente-deux portaient une valeur en forme de clé que nous n’avons pas pu attribuer à un fournisseur. Trois applications détenaient une clé qui facture un compte directement : une clé OpenAI, Anthropic ou AWS.

Trois sur 3 042, c’est rare. C’est aussi la trouvaille qui coûte de l’argent à elle seule, la clé de la caisse laissée sur le comptoir, et elle se manifeste généralement par une facture d’usage qui arrive avant que quiconque ait remarqué quelque chose. Un scanner qui compare des formes afficherait les 219 comme des problèmes ; nous lisons ce que chaque clé peut faire, parce que l’alternative serait de vous apprendre à ignorer l’avertissement le jour où il compte.

Sur Replit, le chemin qu’une clé prend vers le bundle est assez particulier pour avoir son propre article. L’outil Secrets garde une valeur hors de vos fichiers, et il le fait bien. Il ne peut pas la garder hors du navigateur si c’est du code navigateur qui la lit, et la façon dont les gens font marcher cela, c’est de renommer la variable VITE_ ou NEXT_PUBLIC_, ce qui est une instruction donnée à l’outil de build de la publier.

Les deux que vous corrigez avec un réglage

Les source maps et un fichier privé égaré. Les deux se décident dans la façon dont le projet est construit, et les deux sont un réglage plutôt qu’une réécriture.

168 applications publiaient des source maps, ce qui veut dire que les fichiers d’origine derrière l’application, commentaires compris, sont lisibles depuis les outils de développement de n’importe quel navigateur. Sur Replit, la configuration de build est dans votre projet, l’interrupteur est donc à vous ; ce qu’une map publiée expose et n’expose pas mérite d’être lu avant de décider que cela n’a pas d’importance.

Sept applications servaient un fichier privé à une URL toute simple : un .env, un .git/config. Cinq des neuf applications notées D ou F avaient cette trouvaille, et c’est le chemin le plus court vers une mauvaise journée de toute la liste, parce qu’un .env à une URL, c’est chaque clé qu’il contient en une seule requête. Dans une fenêtre privée, ouvrez votre adresse publiée avec /.env à la fin. Cela doit échouer. Si du texte apparaît, faites tourner chaque clé de ce fichier aujourd’hui, puis retirez le fichier de ce que vous déployez.

Le code que l’agent de Replit écrit est-il sûr ?

Nous ne l’avons pas mesuré, et aucun scan depuis l’extérieur ne le peut. Ce qu’un scan voit, c’est le résultat : les 1 050 routes ouvertes et les trois clés qui facturent ont été écrites par quelqu’un, un agent ou une personne, et publiées.

Ce qui est documenté, c’est un événement. En juillet 2025, l’agent de Replit a supprimé une base de données de production au milieu d’une session où on lui avait dit de ne rien changer, et le PDG de Replit l’a reconnu publiquement ; séparer les bases de données de développement de celles de production a fait partie de la réponse de l’entreprise. Ce qui en découle pour vous est le même sur chaque builder qui embarque un agent : tenez l’agent loin de la base de données en production, et gardez une copie de vos données quelque part où l’agent ne peut pas aller.

Où vit cette copie dépend de l’endroit où sont vos données. Si votre application Replit les garde dans Supabase, c’est ce que Care conserve. Si elles sont dans la propre base de données de Replit, nous ne pouvons pas la sauvegarder, et ce qu’il faut lire avant d’en avoir besoin, c’est ce que l’outil de base de données de Replit propose pour une restauration. Seules 14 des 3 042 applications Replit scannées nommaient un projet Supabase, donc pour la plupart d’entre elles, c’est le second cas qui s’applique.

La vérification en cinq minutes de votre propre application Replit

Chacune est une URL que vous ouvrez ou une recherche que vous lancez. Utilisez une fenêtre privée, pour que votre propre connexion ne réponde pas à la place d’un inconnu.

1. Ouvrez votre adresse publiée avec /.env à la fin, puis /.git/config. Les deux doivent échouer. Si l’un des deux affiche du texte, faites tourner chaque clé qu’il contient aujourd’hui.
2. Ouvrez de la même façon l’une de vos propres routes d’API, une que vous ne voudriez pas voir lue par un inconnu. Si elle répond, cette route a besoin d’une vérification de connexion.
3. Cherchez VITE_ et NEXT_PUBLIC_ dans votre projet. Chaque résultat est une valeur que votre outil de build publie exprès, et chacune doit être une clé qu’il était sans danger de publier.
4. Ouvrez votre application en ligne, puis l’onglet Sources des outils de développement de votre navigateur. Si vous pouvez lire vos fichiers d’origine avec leurs commentaires, les source maps sont activées.
5. Ou laissez le scan s’en charger. Il lance ces quatre vérifications et cinq autres depuis l’extérieur, prend environ 20 secondes, ne demande aucun compte, et affiche « Impossible de vérifier » pour tout ce à quoi il n’a pas pu répondre plutôt qu’une coche : scannez votre application.

Qu’est-ce qui change après une nouvelle publication ?

N’importe quoi. Publier sur Replit est un seul geste, donc un changement est en ligne à l’instant où vous le faites, et il n’y a aucune étape de déploiement entre vous et internet pour rattraper une route qui a perdu sa vérification de connexion ou une clé collée à minuit pour passer un build qui échouait. Un scan lancé le mois dernier décrit l’application du mois dernier.

Reeve Monitor est construit pour cette forme d’application : quelqu’un qui passe devant la boutique toutes les heures et essaie les portes. Il relance les neuf vérifications toutes les heures sur trois applications au plus, surveille la disponibilité toutes les 60 secondes, vous prévient quand un résultat change au lieu d’attendre que vous alliez voir, et envoie un rapport mensuel. Il coûte €12 par mois au tarif de base, avec sept jours gratuits avant de vous facturer ; la page des tarifs est parfois en dessous du chiffre donné ici et jamais au-dessus. Monitor surveille et rien de plus, ce qui pour une application Replit est en général la bonne moitié : Care, notre formule de sauvegarde, ne conserve qu’une copie d’une base de données Supabase, et la plupart des applications Replit gardent leurs données ailleurs.

À faire cette semaine

Le guide pas à pas pour cette plateforme est votre application Replit est-elle sûre, et la checklist de sécurité en 10 minutes couvre ce qui vaut la peine d’être confirmé sur toute application fraîchement lancée.