Vous vous apprêtez à ouvrir votre application à de vrais utilisateurs. La question qui revient est toujours la même : qu’est-ce qu’il faut vérifier avant d’appuyer sur le bouton ?

Voici la liste que nous appliquons sur les applications produites avec des outils de génération. Elle est ordonnée par conséquence, pas par difficulté : les premiers points concernent ce qui ne se rattrape pas.

Ce qui est irréversible

Un utilisateur ne voit que ses données. Créez deux comptes d’essai avec des données distinctes. Connectez-vous au premier, ouvrez une fiche, relevez l’adresse dans la barre du navigateur. Déconnectez-vous, connectez-vous au second, collez cette adresse. Si la fiche du premier s’affiche, la règle manque. Ce défaut occupe la première place du classement des risques applicatifs de l’OWASP, et il a fait l’objet en 2025 d’une faille référencée CVE-2025-48757 touchant plus de 170 applications produites avec Lovable.

Aucun secret dans le navigateur. Ouvrez les outils de développement avec la touche F12, onglet des sources, et cherchez sk_, secret, service_role, password. Une clé qui apparaît là a été distribuée à tous vos visiteurs.

Les fichiers déposés sont protégés. Copiez l’adresse d’un document envoyé par un utilisateur et ouvrez-la dans une fenêtre de navigation privée. Si le document s’affiche, votre espace de stockage est public et le restera pour toute adresse déjà diffusée.

Les rôles sont contrôlés côté serveur. Une distinction entre administrateur et utilisateur qui repose uniquement sur des boutons masqués à l’écran ne protège rien.

Ce que la loi impose

Les mentions légales sont présentes et exactes. Raison sociale, forme juridique, capital, siège, numéro d’immatriculation, directeur de publication, hébergeur.

La politique de confidentialité décrit la réalité. Ce que vous collectez, pourquoi, combien de temps vous le conservez, avec qui vous le partagez. Un texte générique qui ne correspond pas à votre application vous expose davantage qu’il ne vous protège.

Le consentement aux traceurs, s’il y en a. Une mesure d’audience configurée pour se passer de consentement suit des règles précises. Un outil publicitaire, jamais.

La procédure de violation est connue. Vous savez qui appeler et quoi faire si des données sortent. Le délai de notification est de 72 heures à partir de votre prise de connaissance, selon la procédure de la CNIL.

Ce qui casse le premier jour

Les saisies aberrantes. Testez chaque formulaire avec un champ vide, un texte très long, une apostrophe, un espace en début d’adresse de messagerie, une date impossible. Un formulaire qui plante sur une apostrophe est un formulaire qui plante le premier matin.

Le double clic. Validez deux fois de suite une commande ou un paiement. Si deux enregistrements apparaissent, le problème arrivera.

Le retour arrière. Utilisez le bouton précédent du navigateur au milieu d’un parcours. Beaucoup d’applications générées ne s’en remettent pas.

Le téléphone. Ouvrez l’application sur un écran de six pouces. Les outils de génération produisent souvent un affichage pensé pour un grand écran.

Les courriels partent vraiment. Confirmation d’inscription, réinitialisation de mot de passe, notification de commande. Vérifiez aussi qu’ils n’arrivent pas en indésirable, ce qui dépend de la configuration de votre nom de domaine.

Ce qui casse le premier mois

Le volume. Remplissez une copie de la base avec le volume que vous visez à six mois, puis rouvrez vos écrans principaux. Le seuil de confort pour l’affichage du plus gros élément d’une page est de 2,5 secondes.

Les tâches automatiques. Une relance hebdomadaire, un rapport mensuel, une synchronisation nocturne. Vérifiez qu’elles s’exécutent réellement et qu’une trace horodatée le prouve. Une tâche qui s’arrête ne produit aucune erreur visible.

Les erreurs sont visibles quelque part. Quand un utilisateur rencontre un problème, quelqu’un doit pouvoir le constater sans attendre qu’il écrive.

Vous pouvez récupérer votre code. Ouvrez le dépôt sur votre propre compte, avec vos identifiants. Faites la liste des services utilisés et de l’adresse propriétaire de chaque compte. Les outils permettent cette synchronisation, encore faut-il l’avoir activée.

Comment mener la vérification

Cette liste se déroule en une demi-journée sur une application de taille modeste, à condition de s’y prendre dans le bon ordre et de noter au fur et à mesure.

Commencez par créer les comptes d’essai dont vous aurez besoin, avec des données réellement différentes : deux clients, deux commandes, deux documents. La plupart des défauts d’accès ne se voient qu’avec deux jeux de données distincts.

Notez chaque constat dans un tableau à trois colonnes : ce que vous avez fait, ce qui s’est produit, ce que vous attendiez. Cette forme paraît scolaire, elle évite les discussions floues avec le prestataire qui corrigera.

Ne corrigez rien pendant la vérification. Une correction en cours de route déplace le problème et vous perdez le fil de ce qui a déjà été testé.

Refaites la liste complète après les corrections, pas seulement les points corrigés. Une modification touche souvent ce qu’elle n’était pas censée toucher, particulièrement sur un code produit par un outil de génération.

L’ordre d’ouverture qui limite la casse

Ouvrir à tout le monde le même jour concentre tous les problèmes sur la même journée, avec les mêmes personnes pour y répondre.

La progression qui fonctionne passe d’abord par une poignée d’utilisateurs internes pendant une semaine, sur des données réelles. Puis par un petit groupe de clients bienveillants, prévenus qu’ils essuient les plâtres et disposés à signaler ce qui coince. L’ouverture générale vient ensuite.

Chaque palier apporte des remontées que la vérification en interne ne produit jamais, parce que vos utilisateurs se servent de l’application autrement que vous.

Ce qu’il ne faut pas faire

Ouvrir un vendredi. Ouvrir à tout le monde d’un coup alors qu’une ouverture progressive coûte la même chose. Ouvrir sans que personne ne réponde aux messages pendant la première semaine.

Ce que nous faisons

Nous déroulons cette liste sur votre application et nous vous remettons le résultat en français, chaque point avec son niveau de gravité et ce que la correction représente.

Vous décidez de ce qui se traite avant l’ouverture et de ce qui peut attendre. Chaque lot est chiffré à prix fixe, et nous vous montrons comment refaire ces vérifications vous-même avant chaque livraison suivante.