Quel builder d'app IA est le plus sûr ? 30 998 apps testées

Vous avez choisi un builder avant de rien savoir d'aucun d'entre eux. Peut-être qu'un fil de discussion en recommandait un, peut-être que la démo vous a plu, peut-être que c'était celui de votre ami. Et depuis, quelque part, vous avez vu quelqu'un affirmer que celui que vous avez choisi est le mauvais, et vous vous êtes demandé si le builder d'app IA le plus sûr n'était pas l'un des autres depuis le début.

Alors nous l'avons mesuré. En août 2026, nous avons scanné 30 998 apps actives publiées depuis Lovable, Base44, Replit, v0 et Bolt, et fait tourner les mêmes neuf vérifications externes sur chacune d'elles.

Voici ce que les comparatifs se trompent à écrire : le builder que vous avez choisi n'est presque jamais ce qui décide si votre app est exposée. Les cinq sont tous ressortis entre 99 % et 100 % sur au moins un constat. Les vraies différences entre eux sont larges, et ce sont des différences de réglages par défaut plutôt que de sécurité.

Quel builder d'app IA est le plus sûr ?

Aucun, et le classement que vous cherchez n'existe pas.

Chaque builder de ce scan a produit des apps avec des constats, à peu près au même rythme, parce que le constat le plus fréquent est posé par l'hébergement et non par la personne qui a construit l'app. Sous ce gros titre, les builders divergent nettement, mais ils divergent sur des choses comme la publication ou non de votre code source à côté de votre app, pas sur la capacité d'un inconnu à lire vos utilisateurs.

Ce qui sépare un A d'un D, c'est quelque chose que vous avez fait après avoir choisi le builder. Le plus souvent, une seule décision : vous avez branché une base de données.

Ce que nous avons mesuré

Les mêmes neuf vérifications que nous ferions tourner sur votre app, lues de l'extérieur, sans connexion et sans accès au compte de qui que ce soit.

Nous avons scanné chaque app entre le 12 et le 14 août 2026, et 30 998 d'entre elles ont donné un résultat que nous pouvions classer. Chaque pourcentage ci-dessous est une part des apps sur lesquelles cette vérification a effectivement répondu, jamais une part de tout ce que nous avons scanné. Une vérification qui n'a pas pu aboutir est enregistrée comme inconnue, pas comme réussie, et c'est pour cela que les dénominateurs bougent dans les tableaux. La méthode complète et les données sous-jacentes sont dans le rapport.

Deux choses que nous n'avons pas faites. Nous ne nous sommes connectés nulle part, et nous n'avons lu les lignes de personne : là où une table a répondu, nous avons demandé à la base combien de lignes elle rendrait, et nous nous sommes arrêtés là. Aucune app n'est nommée ici ni ailleurs dans ce que nous publions.

Chaque builder est à 99 %, et ce chiffre dit moins qu'il n'en a l'air

Parce que presque tout cela est un seul constat, et ce constat appartient à la plateforme.

Des en-têtes de sécurité manquants sont apparus sur 18 539 des 18 554 apps Lovable, sur les 5 438 apps Base44, sur 1 790 apps v0 sur 1 790, sur 1 121 apps Bolt sur 1 123 et sur 2 924 apps Replit sur 3 042. Les en-têtes sont envoyés par ce qui sert votre app : sur le domaine d'un builder, ils sont donc une propriété de ce domaine et identiques sur chaque app qui s'y trouve.

C'est un vrai constat, et il vaut la peine d'être réglé quand vous passez sur votre propre domaine. Mais c'est la ligne la moins urgente d'un rapport, et c'est l'essentiel de ce que compte la phrase "99 % des apps ont un problème".

La vraie différence entre builders, ce sont les réglages par défaut

Chaque builder livre un jeu de réglages par défaut différent, et ceux-ci se retrouvent dans presque toutes les apps qu'il fabrique.

La colonne des source maps est celle à lire attentivement, car sur Base44 elle ne mesure pas la même chose que sur les quatre autres. Nous avons rouvert 30 apps Base44 signalées en septembre : sur 27, la seule carte qui répondait était /static/js/badge.js.map, celle du script de badge de Base44, et sur aucune des 30 une carte ne couvrait les fichiers du propriétaire. Ces 59 % sont donc une plateforme publiant l'un de ses propres fichiers sur chaque app qu'elle héberge, et non 3 229 propriétaires qui laissent fuir leur code. Sur Lovable, Replit et Bolt, la même colonne désigne bien le code du propriétaire, et c'est pourquoi 1 %, 6 % et 59 % ne se lisent pas de haut en bas comme un classement. Ce que nous avons trouvé dans ces cartes Base44 en est le compte rendu complet.

La colonne à 99 % est la vraie, et elle vient elle aussi de Base44 : la plateforme règle le CORS pour chaque app qu'elle héberge et n'offre aucun réglage par app. Code source publié signifie, quand il est le vôtre, que les fichiers d'origine derrière votre app sont lisibles depuis les outils de développement du navigateur. Ce que cela expose et ce que cela n'expose pas vaut une lecture si vous êtes sur l'une des quatre autres.

La colonne des clés secrètes est celle dont tout le monde attend qu'elle domine, et elle ne domine pas. Une clé digne d'être nommée est apparue dans 4 % à 7 % des apps sur trois des cinq builders, et dans aucune des apps v0.

Si vous voulez la version en langage clair pour le builder que vous utilisez vraiment, chacun a sa page : Lovable, Base44, Replit, v0 et Bolt.

Ou évitez la lecture : notre scan gratuit fait tourner ces mêmes vérifications sur votre site en ligne et vous dit lesquelles votre app accroche. Environ 20 secondes, sans compte : scannez votre app.

Ce qui décide vraiment un D ou un F

Une base de données, et ce que vous en avez fait.

Lovable a produit 407 apps notées D ou F sur 18 554. v0 n'en a produit aucune sur 1 790. Cela ressemble à un verdict sur les deux builders jusqu'à ce que vous regardiez ce que sont ces apps : 35 % des apps Lovable nomment un projet de base de données, contre 1 % environ des apps v0.

Les vérifications qui peuvent produire un D ou un F sont presque toutes des vérifications de base de données. Une app sans base a moins de choses qui peuvent mal tourner et moins de choses à regarder pour nous. La ligne Lovable ne mesure donc pas un builder plus mauvais, elle mesure un builder dont les utilisateurs branchent des bases de données, ce qui est l'essentiel de la raison pour laquelle on le choisit.

Sur les 3 553 apps Lovable dont la base nous a répondu, 2 017 avaient au moins une table qu'un inconnu pouvait lire sans se connecter. C'est le constat à corriger en premier, et il n'a rien à voir avec le builder qui a généré votre interface.

C’est chez Lovable que ce chiffre est assez gros pour mériter son propre article : ce que 18 554 applications Lovable ont montré passe les mêmes neuf vérifications sur la plus grande cohorte dont nous disposons.

Pourquoi nous n'allons pas les classer

Parce que pour trois des cinq, nous n'avons pas pu vérifier assez de bases de données pour dire quoi que ce soit.

Voici la partie des données que tout classement laisse de côté :

Regardez la ligne Base44. Plus d'un quart de ses apps nomment un projet de base de données, et exactement deux de ces bases nous ont répondu. Nous n'allons pas transformer deux apps en taux et le poser à côté d'un chiffre bâti sur 3 553. Et personne d'autre ayant scanné depuis l'extérieur ne le peut non plus, quoi qu'en dise son tableau comparatif.

Ce qu'il faut vérifier sur votre propre app

Tout cela se vérifie à la main. Garder la réponse vraie le mois prochain est la partie qui ne reste pas faite, et c'est pour cela que Reeve Care existe : il fait tourner ces mêmes vérifications selon un calendrier et vous prévient quand une réponse se dégrade, puis garde des copies vérifiées de votre base hors du compte de votre fournisseur, pour qu'il y ait quelque chose à remettre. Cette seconde moitié compte ici parce que nous ne vérifions jamais que la lecture, et la même règle permissive qui laisse un inconnu lire une table le laisse en général y écrire. Ce qu'il surveille et ce qu'il coûte.

Si vous préférez avancer avec une liste, la checklist de sécurité en 10 minutes couvre l'ensemble en langage clair.