Scanners de sécurité vibe coding comparés, le nôtre compris

Vous avez tapé « meilleur scanner de sécurité vibe coding » dans un moteur, et le premier comparatif revenu avait été écrit par l'un des scanners. La mention était là, sur une ligne sous le tableau.

Reeve est l'un des huit outils ci-dessous, donc cette page a le même problème. Reeve est un scanner de sécurité gratuit qui lit une URL en direct en une vingtaine de secondes sans compte, et un abonnement payant qui continue à surveiller l'application ensuite et garde une copie vérifiée de sa base de données. Ce que nous pouvons faire de ce conflit, c'est montrer le travail. Chaque ligne a été lue sur le site du vendeur, une première fois le 7 septembre 2026 et à nouveau le 5 novembre 2026, chaque prix est imprimé y compris le nôtre, rien ici n'est un placement payé, et une section vers la fin nomme les trois tâches de cette page que Reeve ne fait pas du tout.

Voici ce que les comparatifs de fabricants laissent de côté. La plupart de ces outils lisent la même surface. Ils chargent votre application en direct, récupèrent le JavaScript qu'elle envoie au navigateur, lisent les en-têtes venus avec, posent à votre base de données une question que n'importe quel inconnu pourrait poser, et notent ce qui a répondu. Le scan est la partie qu'ils ont en commun. Trois questions les séparent :

1. Distingue-t-il une clé qui a sa place dans votre application d'une qui ne l'a pas ?
2. Le dit-il quand une vérification n'a obtenu aucune réponse ?
3. Se passe-t-il quelque chose le jour où vos données ont vraiment disparu ?

Quel est le meilleur scanner de sécurité vibe coding ?

Celui qui sait lire la surface où se trouve votre problème. Cette question trie la liste plus vite que n'importe quelle liste de fonctions, et elle partage huit outils en trois groupes, certains se trouvant désormais dans plus d'un.

Les outils à qui vous donnez une URL. LaunchGuard, Vibe App Scanner, VibeEval, SupaExplorer et Reeve. Vous collez une adresse, ils chargent votre application comme le ferait un visiteur, et un rapport revient en une minute ou deux. Rien à installer, rien de vous à connecter.

Les outils à qui vous donnez votre code. CheckVibe lit une URL en direct et lit aussi un dépôt GitHub si vous en connectez un, et Vibe App Scanner examine désormais un dépôt ou un ZIP de votre source sur ses formules payantes. Lire la source répond à des questions qu'un scan d'URL ne peut pas poser, et cela vient avec son propre angle mort, d'où l'intérêt de ce qu'un scan d'URL manque avant de payer pour l'un ou pour l'autre.

Les outils à qui vous donnez votre compte Supabase. Le Security Advisor de Supabase lui-même vit dans votre tableau de bord et lit la configuration du projet. Supabomb est un outil en ligne de commande open source écrit pour des gens dont c'est le métier. CheckVibe et SupaExplorer se connectent aussi à un projet Supabase si vous en liez un. Tous atteignent depuis l'intérieur du compte des choses que rien de posté hors de votre application ne peut voir.

Si vous êtes sur Supabase et n'avez jamais ouvert le Security Advisor, ouvrez celui-là avant de payer qui que ce soit sur cette page. Il est gratuit, il tourne tout seul, et il écrit au propriétaire du projet quand une table apparaît avec la Row Level Security éteinte. Ce n'est pas non plus un concurrent de ce qui est ici : il lit votre configuration, là où un scan lit ce que votre configuration fait aux inconnus, et ces deux-là divergent plus souvent que personne ne l'imagine.

Que lit vraiment chaque scanner ?

Six des huit tournent avec une URL. Les deux autres veulent quelque chose qu'il faut se connecter pour remettre, et c'est la colonne à lire avant toute liste de fonctions. Les deux de droite décident si vous pouvez essayer un outil ce matin : quatre scannent sans aucun compte, et trois de ces quatre vous montrent le rapport entier.

Chaque ligne a été lue sur les pages de l'outil lui-même le 7 septembre 2026 puis à nouveau le 5 novembre 2026. Deux outils de la première version de cette page ont disparu. Le site de SafeToShip répondait « This Deployment is paused by the owner » les 4 et 5 novembre, et Defencecore vend désormais des tests d'intrusion et ne propose plus son produit Supabase. C'est une catégorie jeune et les pages bougent, donc traitez chaque ligne comme plus vieille que le site d'où elle vient.

C'est à ce tableau que s'arrêtent la plupart des comparatifs, et c'est la partie qui sépare le moins ces outils.

Les trois questions, outil par outil

Reeve est le seul des huit à répondre oui aux trois. Deux autres répondent désormais à la deuxième par écrit, ce que nous n'avions trouvé chez aucun quand cette page a été écrite.

« Sa page ne le dit pas » veut dire exactement cela. Nous pouvons lire ce que ces outils publient sur eux-mêmes ; le rapport que vous recevriez, nous ne pouvons pas le voir. Les trois sections ci-dessous expliquent chaque colonne et vous donnent un moyen de le vérifier sur votre propre application, en la scannant avec deux de ces outils et en lisant les deux rapports côte à côte.

Distingue-t-il vos clés sûres de vos clés dangereuses ?

Reeve le fait, en décodant la clé et en lisant le rôle inscrit dedans. Cette seule capacité fait la différence entre un rapport sur lequel vous pouvez agir et une liste de quarante choses devant lesquelles vous apprenez à faire défiler.

Commencez par la raison de tels écarts de décompte. Un nombre de vérifications est un chiffre de marketing et non une mesure : CheckVibe annonce plus de cent, Reeve en exécute neuf et publie à quelle fréquence chacune des neuf se déclenche sur 30 998 applications. Une liste plus longue sur la même application est une liste plus longue. La cause principale est que certains scanners traitent en problème toute clé trouvée dans votre JavaScript, et certaines de ces clés ont leur place là.

Votre clé publiable Supabase a sa place dans votre frontend. Une clé Stripe qui commence par pk_live_ aussi. Les deux voyagent vers chaque visiteur par construction, parce que la requête qu'elles identifient part du navigateur du visiteur, et aucune des deux n'accorde quoi que ce soit à elle seule. Quelles clés sont sûres dans votre frontend est cette distinction en entier.

Le 7 septembre 2026, la page d'accueil de VibeEval listait « Stripe pk_live_ found in /assets/app.js » parmi cinq constats d'exemple, marqué CRIT. C'est une clé publiable, exactement là où Stripe la publie. L'exemple avait disparu quand nous avons relu la page en novembre, et nous ne pouvons pas voir les rapports que ces outils envoient à leurs vrais clients, donc lisez cela comme une page marketing et non comme un verdict sur le produit. C'est malgré tout un exemple net de ce qu'il faut vérifier, et le dommage n'est pas cette ligne fausse. Un scanner qui vous donne un constat critique pour avoir fait quelque chose correctement vous apprend à hausser les épaules au suivant, et le suivant est le vrai constat.

Une ancienne clé Supabase est un JWT, et sa section du milieu indique "role": "anon" ou "role": "service_role" en texte lisible. Reeve lit ce mot. Une clé publiable dans votre bundle revient sous un titre disant que vous avez fait cela correctement, sans rien vous coûter, et une clé service_role dans le même bundle est la pire chose que le scanner sache trouver. Les deux se ressemblent énormément dans le tableau de bord Supabase, posées côte à côte, et c'est ainsi que la mauvaise finit copiée.

Le dit-il quand une vérification n'a obtenu aucune réponse ?

Reeve le fait, avec ces mots-là. Une vérification se termine de trois façons et une seule est une réussite : elle trouve quelque chose, elle reçoit un non clair, ou elle ne reçoit rien du tout parce que la requête a expiré, l'hôte l'a refusée, ou la page n'a jamais fini de charger. Cette troisième fin est la case vide à droite de l'image ci-dessus. Elle s'écrit « Vérification impossible » et laisse votre note tranquille.

C'est la chose la plus discrète de la page et celle qui décide si un rapport vaut quelque chose, parce qu'une sonde restée sans réponse ressemble exactement à une sonde revenue propre dès que quelqu'un l'a arrondie vers une coche. Vous agiriez sur cette coche. Il n'y a rien derrière.

Le 7 septembre 2026, nous n'avons trouvé la même promesse sur aucun des autres sites. Le 5 novembre, deux d'entre eux la faisaient. L'aperçu de Vibe App Scanner vous montre les « checks that could not run », et la méthodologie de VibeEval donne à chaque scan un score de couverture et dit « When upstream protection blocks our probes we say so. » LaunchGuard le dit pour une chose, ses tests d'écriture, qui sont sautés et signalés quand votre base ne peut pas confirmer qu'elle les annulera. Chez les autres, nous n'avons trouvé aucune ligne de ce genre. Cela ne prouve pas qu'ils arrondissent, et c'est toujours la ligne à chercher avant de croire un rapport vert sur une application à laquelle vous tenez.

La même règle gouverne les chiffres que Reeve publie sur tous les autres. Entre le 12 et le 14 août 2026, nous avons passé les neuf vérifications sur 30 998 applications vibe-codées en direct construites avec Lovable, Bolt, v0, Cursor, Replit, Windsurf et Base44, publié chaque agrégat sous CC BY 4.0 pour que n'importe qui le réutilise, et noté à quelle fréquence chaque vérification s'est déclenchée, quelle part d'applications elle n'a pas pu atteindre, et comment celles-là ont été comptées. Une vérification sans réponse va dans sa propre colonne et non dans la pile propre, si bien que rien sur cette page n'est gonflé en comptant le silence comme de la sûreté. La page d'accueil de Vibe App Scanner tient un compteur de ses scans et des vulnérabilités qu'ils ont trouvées. Quel que soit le chiffre qu'un outil affiche, le nôtre compris, demandez comment il a compté les applications qu'il n'a pas pu atteindre.

Que se passe-t-il le jour où vos données ont disparu ?

Rien, chez sept des huit. Un scanner trouve la porte ouverte. Il ne peut pas vous dire qui l'a déjà franchie, et il ne peut pas rendre une table que quelqu'un a vidée mardi.

Reeve Care est le huitième, et combler cet écart est la raison d'être de cette entreprise. Il prend des copies de votre base Supabase selon un calendrier, ouvre chaque copie et la compte contre ce qui est entré avant que la copie compte comme sauvegarde, les garde hors de votre compte Supabase pour qu'un projet suspendu ou un accès irrécupérable les laisse là où elles sont, et remplace vos données depuis l'une d'elles quand vous le demandez. Une copie de l'état actuel est prise d'abord, avant que quoi que ce soit soit remplacé.

Vos fichiers téléversés voyagent avec les lignes dès que vous connectez un accès Storage, qui est une seconde clé demandée séparément et la seule que Reeve détienne capable d'écrire, parce que Supabase n'émet aucune clé en lecture seule pour les fichiers. Ce que cela fait exactement est dessiné sur la page des sauvegardes.

Supabase est la seule chose que Care sache sauvegarder, donc si vos données vivent dans Firebase ou ailleurs, toute cette section ne vous est pas ouverte et la moitié qui scanne est ce que Reeve a à vous offrir. Vibe App Scanner et LaunchGuard vérifient tous deux les règles de sécurité Firebase, ce qui est l'équivalent le plus proche sur cette page.

Qu'obtenez-vous pour un abonnement mensuel ?

Chez les autres, plus de scans. Chez Reeve, les scans plus ce qui se passe après que l'un d'eux a trouvé quelque chose.

Ces chiffres des autres sont ceux qu'affichaient les vendeurs le 5 novembre 2026 : CheckVibe $24, $49 ou $99, Vibe App Scanner $29 ou $49, VibeEval $25 affiché à côté de $49 barré avec un palier équipe à $75, et SupaExplorer $9. LaunchGuard ne vend pas d'abonnement : son scan approfondi, un correctif et 30 jours de surveillance tiennent en un paiement unique de $19 par application. Lisez le prix courant sur la page du vendeur avant d'acheter quoi que ce soit, et cela vaut pour le nôtre, qui est parfois sous le chiffre catalogue d'ici et jamais au-dessus.

Nos prix sont en euros parce que c'est en euros que nous vous facturons. Les chiffres des autres sont en dollars parce que c'est ce que disent leurs pages, et nous ne les convertissons pas.

La plupart des formules payantes ici s'essaient avant de vous facturer. Reeve vous donne sept jours, VibeEval annonce quatorze sans carte et CheckVibe quatorze avec carte. Vibe App Scanner et SupaExplorer offrent plutôt un premier scan gratuit.

Deux choses découlent de cette dernière ligne. Reeve Monitor coûte €12 par mois pour trois applications, dans le bas de la fourchette des abonnements d'ici, et c'est toute la moitié surveillance : rescans toutes les heures, une sonde de disponibilité toutes les 60 secondes, des alertes quand quelque chose change, et un rapport mensuel. Et Reeve Care coûte €49 par mois, dans la même tranche de prix que CheckVibe Pro et Vibe App Scanner Pro, tout en étant le seul abonnement de la page qui garde en plus une copie vérifiée de votre base de données et la remet en place sur demande. Au-dessus, Care Pro à €79 ajoute cinq applications, des sauvegardes deux fois par jour et une page de statut publique, et Care Max à €139 les prend quatre fois par jour.

Là où Reeve n'est pas la réponse

Trois tâches de cette page que Reeve ne fait pas du tout.

• Lire votre code source. CheckVibe le fait si vous connectez GitHub, Vibe App Scanner sur ses formules payantes, et les scanners de secrets dédiés à ce travail vont plus loin que nous tous. C'est aussi le seul moyen de trouver une clé partie de votre application il y a des mois et toujours assise dans son historique.
• Tester l'application une fois connecté, ou en y écrivant. VibeEval accepte des scans avec identifiants, et le scan approfondi Pro de Vibe App Scanner se connecte avec un compte de test que vous lui donnez. Le scan approfondi de LaunchGuard à $19 reste dehors mais essaie d'écrire et de supprimer par chaque porte ouverte qu'il trouve, en annulant ses écritures de test. Reeve ne se connecte jamais, n'écrit jamais et ne télécharge jamais une ligne, ce qui rend sûr de le pointer sur une application en production avec de vrais clients, et ce qui explique aussi qu'un bug qui ne se montre qu'à un utilisateur connecté nous reste invisible.
• Être ouvert, ou être piloté par votre agent. Supabomb est open source et écrit en Python. Vibe App Scanner publie un serveur MCP, CheckVibe verse ses constats dans Claude ou Cursor, et l'advisor de Supabase est joignable par le serveur MCP de Supabase lui-même. Reeve ne publie ni sa source ni un serveur MCP.

Là où Reeve est la réponse : votre application est en ligne, vous voulez savoir ce qu'elle remet aux inconnus en ce moment sans connecter le moindre compte à quoi que ce soit, vous voulez un rapport qui vous dise ce que vous avez fait correctement aussi clairement que ce qui est ouvert, et vous aimeriez que quelqu'un détienne une copie vérifiée de votre base de données le jour où cela tourne mal.

Que remettez-vous quand un outil lit votre code ?

Un accès permanent à tout ce qui est dans le dépôt, ce qui est bien plus vaste que l'application.

Votre dépôt n'est pas votre application. Il contient chaque clé que vous avez un jour commitée puis retirée, les fichiers de seed et de fixtures avec des données client qui ont l'air vraies, la branche à moitié faite que personne n'a déployée, et les instructions que vous avez écrites pour votre constructeur IA. Cette dernière surprend les gens. Votre CLAUDE.md, vos .cursorrules, votre AGENTS.md, le long prompt qui décrit comment le produit est censé se comporter : c'est votre pensée produit, en texte clair, dans le dépôt. Un scan d'URL voit l'application que voient vos visiteurs. Une connexion au dépôt voit tout cela, et une seconde entreprise en détient désormais une copie.

Trois choses à vérifier avant d'en accorder un :

• C'est un accès permanent et non une visite. Une GitHub App ou une autorisation OAuth continue de fonctionner jusqu'à ce que vous alliez la révoquer, donc elle lit aussi ce que vous pousserez le mois prochain. Cherchez si vous pouvez la limiter à un seul dépôt, et trouvez le bouton de révocation avant d'en avoir besoin.
• Leur fuite devient la vôtre. Tout ce qu'un fournisseur détient sur vous est exposé quand le fournisseur l'est, donc demandez ce qu'il garde après le scan.
• Un outil qui se connecte ou qui écrit peut changer des choses. Un scanner qui conduit un navigateur à travers votre login fait ce que fait un utilisateur, sur vos données réelles. Lisez ce qu'il dit qu'il cliquera et ne cliquera pas. La FAQ de LaunchGuard est un bon modèle de la réponse à chercher : il vérifie que les écritures de test seront annulées avant d'en tenter une, et il dit que les triggers de la base peuvent tout de même se déclencher sur une écriture annulée.

C'est un échange et non un avertissement. Un scanner de dépôt trouve la clé que vous avez supprimée en avril et rien qui lise votre site en direct ne le fera jamais, donc si c'est votre question, l'accès est ce que coûte la réponse.

Lequel devriez-vous choisir ?

Cinq situations, et deux d'entre elles ne finissent pas chez nous.

• Vous voulez savoir tout de suite et gratuitement ce que votre application montre aux inconnus. Le scan de Reeve ou LaunchGuard. Ni l'un ni l'autre ne demande d'inscription, et les deux reviennent en moins d'une minute. SupaExplorer scanne aussi sans compte.
• Vous êtes sur Supabase et n'avez jamais ouvert le Security Advisor. Celui-là d'abord, avant tout ce qui porte un prix sur cette page. Il est gratuit et il lit ce qu'aucun scan de l'extérieur ne peut lire.
• Vous voulez faire lire votre code source, ou faire tester l'application une fois connecté. CheckVibe ou une formule payante de Vibe App Scanner pour le dépôt, VibeEval ou Vibe App Scanner Pro pour ce qui est derrière le login. Lisez la section ci-dessus sur ce que coûte cet accès avant de l'accorder.
• Vous voulez l'application surveillée et vous comptez chaque euro. Reeve Monitor, €12 par mois pour trois applications : rescans toutes les heures, une sonde de disponibilité toutes les 60 secondes, des alertes et un rapport mensuel, et aucune sauvegarde.
• Vous avez de vrais clients, et personne qui lancera une restauration sous pression. Reeve Care, €49 par mois, c'est-à-dire le scan et la surveillance et une copie vérifiée de votre base de données qui revient en un bouton. Si vos données ne sont pas dans Supabase, la moitié sauvegarde ne vous concerne pas.

Que faire cette semaine

Le scan de sécurité gratuit de Reeve lit une URL en direct en une vingtaine de secondes sans compte, note ce qu'il a trouvé, et liste ce que vous avez fait correctement à côté de ce qui est ouvert. Faire surveiller une application ensuite commence à €12 par mois, et les sauvegardes avec restauration en un bouton à €49 ; les formules sont ici. Si vous préférez d'abord passer votre application en revue vous-même, la checklist de sécurité en 10 minutes couvre le même terrain sans outil entre les deux.