Votre IA a construit l'app.
Nous trouvons ses failles.
Des millions de personnes publient des apps qu'elles n'ont pas entièrement écrites — et ces apps exposent des clés API, des bases de données et tournent sans protections. Collez une URL, obtenez un rapport de sécurité en quelques secondes.
Six façons dont les apps vibe-codées fuient
Clés API et secrets exposés
Nous lisons vos pages et chaque fichier JavaScript, avec plus de 50 formats de clés — OpenAI, Anthropic, Stripe, AWS, Supabase, GitHub, URL de bases de données et plus.
Règles Supabase et Firebase
Le piège n°1 du vibe coding. Nous détectons votre backend et vérifions si des tables, collections ou fichiers sont lisibles par n'importe qui — sans connexion.
Failles d'authentification et de session
Cookies sans HttpOnly/Secure/SameSite, CORS dangereux, formulaires de connexion non sécurisés et clés de service qui contournent toutes les protections.
Points d'accès ouverts et fichiers exposés
Nous cherchons les fichiers .env, les dossiers .git exposés, les dumps de base de données, les consoles d'administration et les fichiers de configuration qui ne devraient jamais être publics.
Veille CVE et malwares en direct
Les librairies et lockfiles sont vérifiés en direct avec OSV.dev, CISA KEV et EPSS, plus de 960 tests de CVE et d'expositions en lecture seule qui s'enrichissent chaque jour.
Risques IA, MCP et CI/CD
Clés LLM exposées dans le navigateur, serveurs MCP sans authentification, contournement du middleware Next.js et injection de scripts dans GitHub Actions.
De l'URL au rapport en trois étapes
- 01
Indiquez une cible
Collez l'URL de votre app en ligne, ou un dépôt GitHub — public, ou privé avec un jeton en lecture seule. Tout est gratuit, sans compte.
- 02
Exploration, légère ou profonde
SafeVibe parcourt votre site comme un visiteur et affiche les problèmes en direct à chaque page analysée. Le scan profond ajoute des sondes actives une fois la propriété prouvée.
- 03
Recevez votre rapport
Un rapport noté avec la gravité, des preuves masquées et la correction exacte pour chaque problème.
Un scanner qui progresse chaque jour
SafeVibe conserve une bibliothèque permanente de tests de sécurité. Les failles connues sont transformées en tests une seule fois, par du code déterministe — sans IA, sans approximation. Toutes les heures, la bibliothèque n'ajoute que ce qui est nouveau. L'IA est réservée à l'étude des failles pour lesquelles personne n'a encore écrit de test.
- 1
Collecter
Toutes les heures, SafeVibe lit des sources publiques de vulnérabilités : ProjectDiscovery nuclei-templates, le catalogue CISA des failles activement exploitées, OSV.dev et FIRST EPSS.
- 2
Convertir une fois
Chaque faille devient un test une seule fois et est inscrite dans un registre. Tout ce qui attaquerait un site — exploits, charges malveillantes, force brute — est rejeté définitivement.
- 3
Grandir progressivement
Les synchronisations suivantes ne traitent que ce qui est nouveau ou modifié à la source, retirent les tests supprimés et mettent à jour les failles exploitées dans la nature.
- 4
L'IA pour le nouveau
Les failles toutes récentes, sans test, sont confiées au chercheur IA, une seule fois chacune. Chaque proposition est relue avant d'arriver dans vos scans.
Garde-fous sur chaque test
Une seule requête GET ou HEAD, sans corps, sans charge d'attaque, des critères propres au produit et une suite de tests complète avant toute mise en ligne.
Intelligent au moment du scan
SafeVibe identifie votre stack (Next.js, Supabase, WordPress…) et ne lance que les tests pertinents. Les pages de secours des apps monopages ne comptent jamais comme une détection.
Veille en direct en plus
Chaque scan vérifie les librairies avec OSV.dev ; les CVE activement exploitées sont remontées et classées selon leur probabilité d'exploitation (EPSS).
Claude, utilisé là où il apporte quelque chose
SafeVibe utilise Claude Opus 5.5 d'Anthropic (modèle claude-opus-5-5) via le SDK officiel d'Anthropic, avec des réponses contraintes par un schéma. Il a deux rôles — et il ne revérifie jamais ce que la bibliothèque de tests connaît déjà.
Chercheur IA de menaces
- Prend les CVE récemment ajoutées à CISA KEV sans test, et chaque semaine recherche sur le web les failles tout juste publiées dans la stack du vibe coding.
- Lit les avis de sécurité, puis rédige un test passif — ou explique pourquoi aucun test sûr n'est possible.
- Chaque CVE est étudiée une seule fois ; un identifiant CVE n'est accepté que s'il apparaît dans de vrais résultats de recherche.
- Ses propositions suivent des règles plus strictes que les tests communautaires et sont relues avant mise en ligne.
Analyste IA
- Relit le code de votre site pour trouver les failles de logique invisibles aux règles : autorisation faite seulement dans le navigateur, API d'administration cachées, requêtes de base de données sans filtre.
- Les secrets sont masqués avant tout envoi ; le contenu de votre site est traité comme non fiable (protection contre l'injection de prompt).
- Un problème n'est retenu que s'il cite du code qui existe réellement dans votre fichier.
- Les API signalées sont testées par SafeVibe lui-même, sans identifiants, et remontées seulement si la réponse prouve une fuite.
Gratuit, et conçu pour un usage responsable
Tous les scans sont gratuits, sans compte. Les scans passifs ne lisent que ce que n'importe quel navigateur télécharge. Les scans profonds envoient des sondes actives : ils ne s'exécutent que sur les sites dont le propriétaire a publié un jeton de vérification SafeVibe, revérifié par le serveur au début de chaque scan profond. Les dépôts GitHub ne nécessitent pas de vérification ; les dépôts privés utilisent un jeton en lecture seule que vous fournissez.
Questions sur SafeVibe
Qu'est-ce que SafeVibe ?
SafeVibe est un scanner de sécurité gratuit pour les applications créées avec des outils d'IA (vibe coding). Il analyse un site en ligne ou un dépôt GitHub à la recherche de secrets exposés, de règles de base de données ouvertes, de librairies vulnérables, de CVE connues et de configurations risquées, et explique comment corriger chaque problème.
SafeVibe est-il gratuit ?
Oui. Tous les types de scan sont gratuits et sans compte : scans de sites, scans profonds des sites dont vous êtes propriétaire, et scans de dépôts GitHub publics ou privés.
Que vérifie SafeVibe ?
Les clés API exposées (OpenAI, Anthropic, Stripe, AWS, Supabase…), le Row Level Security de Supabase et les règles Firebase, les cookies et le CORS, les fichiers exposés comme .env ou .git, les panneaux d'administration, les librairies JavaScript vulnérables, plus de 960 tests de CVE et d'expositions, les risques GitHub Actions et les paquets npm malveillants.
Est-ce sans risque de scanner mon site ?
Oui. Un scan léger ne lit que ce qu'un navigateur télécharge déjà. Un scan profond envoie des sondes en lecture seule et ne s'exécute qu'après avoir prouvé que vous possédez le site, via une balise meta, un fichier /.well-known ou un enregistrement DNS. Aucun contrôle ne modifie de données ni n'envoie de charge d'attaque.
SafeVibe peut-il scanner des dépôts GitHub privés ?
Oui. Créez un jeton GitHub à granularité fine avec un accès en lecture seule à ce dépôt et collez-le dans le scanner. Il est envoyé dans le corps de la requête en HTTPS, utilisé en mémoire pour le scan uniquement, et n'est jamais stocké ni journalisé.
Comment SafeVibe reste-t-il à jour ?
Une synchronisation toutes les heures lit des modèles de détection publics et la liste CISA des failles exploitées. Chaque faille devient un test une seule fois et rejoint un catalogue permanent ; seuls les éléments nouveaux ou modifiés sont retraités.
SafeVibe utilise-t-il l'IA, et que devient mon code ?
L'IA (Claude d'Anthropic) étudie les failles toutes récentes en arrière-plan. L'analyste IA optionnel pendant un scan est désactivé par défaut ; une fois activé, les secrets sont masqués avant l'envoi de votre code côté client, et chaque problème signalé par l'IA est vérifié dans le code.