Sites et apps créés avec l’IA : sont-ils sécurisés ?

On entend souvent : “L’IA, c’est bien pour prototyper, mais ce n’est pas sécurisé.”

Cette phrase mélange deux choses. L’IA peut aller vite. Elle ne décide pas toute seule si votre projet est solide. Un site de présentation n’a pas les mêmes enjeux qu’une app où des gens se connectent et laissent des infos.

La bonne question n’est pas “l’IA est-elle sûre ?”. C’est : qu’est-ce que je dois vérifier avant de partager largement ?

Ce que les gens confondent souvent

“Si c’est fait avec l’IA, c’est forcément risqué.” Non. L’IA peut produire une base saine. Elle peut aussi laisser des trous si personne ne regarde. Comme avec un prestataire humain : ce qui compte, c’est ce que vous vérifiez ensuite.

“S’il y a un mot de passe, c’est privé.” Pas forcément. Une page peut demander une connexion… et quand même montrer trop d’infos une fois dedans. Ou s’ouvrir alors qu’on n’est pas connecté.

“La sécurité, c’est seulement pour les pirates et les gros sites.” Dans la vraie vie, le problème fréquent est plus simple : un client qui voit le dossier d’un autre, une page d’équipe ouverte à tout le monde, ou une clé sensible collée au mauvais endroit.

“On verra ça plus tard, quand il y aura des utilisateurs.” Plus vous attendez, plus c’est pénible à corriger. Mieux vaut poser les bases avant de partager le lien largement.

“Un scan automatique suffit, je n’ai rien d’autre à faire.” Un scan aide beaucoup sur les erreurs fréquentes. Il ne remplace pas un test simple : “avec un autre compte, est-ce que je vois seulement ce que je dois voir ?”

Les 5 points à regarder (même sans être technique)

1. Qui voit quoi, et qui peut faire quoi

Dès qu’il y a des comptes (ou des infos privées), la règle est simple : chaque personne ne doit voir et faire que ce que vous avez prévu.

Exemples concrets à tester :

• Marie voit le dossier de Paul : créez un deuxième compte, connectez-vous avec, et vérifiez que vous ne voyez pas les infos de l’autre.
• Un client peut faire trop de choses : avec ce compte “client”, essayez de supprimer, d’exporter, ou d’ouvrir une zone réservée à l’équipe. Ça doit échouer.
• Une page privée s’ouvre sans connexion : déconnectez-vous, puis essayez d’ouvrir l’espace client, les réglages, ou une zone équipe. Ça ne doit pas s’afficher.
• Un fichier ou une liste fuit : un document client, une liste, un export… ne doivent pas s’ouvrir pour n’importe qui qui a le lien. Testez avec un compte qui ne devrait pas y avoir accès.

Même si vous changez un numéro dans le lien (ou que vous “bidouillez” l’adresse), vous ne devez pas tomber sur les infos d’un autre.

2. La connexion elle-même

Si les gens se connectent, vérifiez aussi le “sas d’entrée” :

• un mot de passe trop simple (comme 123456) ne doit pas être accepté
• après “Se déconnecter”, un retour arrière du navigateur ne doit pas rouvrir l’espace client
• le lien “mot de passe oublié” doit arriver au bon endroit, et ne doit pas permettre de changer le mot de passe de quelqu’un d’autre

3. Les infos sensibles bien rangées

Pour brancher un paiement, un envoi d’emails, ou un service extérieur, on vous demande parfois un code secret.

Ne le collez jamais dans le chat. Sur Index10, rangez-le dans l’onglet Cloud, section Secrets (un coffre prévu pour ça), ou demandez à l’IA d’ouvrir le formulaire sécurisé pour le saisir.

Si un code a déjà fuité (collé dans le chat, envoyé par mail…), changez-le chez le service concerné, puis rangez le nouveau correctement.

4. Ce que les visiteurs peuvent envoyer

Ce n’est pas seulement le formulaire de contact. Dès que quelqu’un peut envoyer quelque chose (message, fichier, demande, inscription), demandez-vous :

• n’importe qui peut-il spammer ou saturer ? (ex. 200 messages en 2 minutes, inscriptions fake en boucle)
• où vont ces infos ?
• qui peut les lire ensuite ?

Si c’est flou, demandez à l’IA une limite simple (par exemple quelques envois par heure) ou une validation d’email avant d’accepter l’inscription.

5. Le niveau de risque selon votre projet

• Site de présentation (offre, contact) : enjeux plus légers, mais le formulaire et les infos affichées comptent quand même.
• App avec comptes : “qui voit quoi / qui peut faire quoi” devient central.
• Paiements, données très sensibles (santé, finance, etc.) : soyez plus exigeant. Un regard humain extérieur peut être utile en plus des outils de la plateforme.

Comment Index10 vous aide (sans magie)

Index10 ne remplace pas votre bon sens. Il vous donne des leviers concrets :

• Cloud, section Secrets : un coffre pour ranger les codes secrets, hors du chat et hors du texte visible du site.
• Contrôle avant publication : au moment de publier, Index10 cherche des problèmes fréquents (codes secrets mal rangés, fichiers sensibles, et certains contrôles d’accès si Cloud est actif). Les problèmes les plus graves bloquent la publication jusqu’à correction.
• Vérification dans le chat : vous pouvez demander à l’IA de chercher les faiblesses et de corriger, une par une.
• Index10 Cloud : sert à gérer comptes, infos sauvegardées et fichiers quand votre projet en a besoin. Ce n’est pas un bouton “rendre l’app sécurisée”. Plus vous stockez d’infos, plus il faut vérifier les accès.

Détails : documentation sécurité · Index10 Cloud.

Demander une vérification à l’IA (prompts prêts à coller)

Évitez un vague “sécurise mon app”. Copiez-collez plutôt les messages ci-dessous, un par un.

Important : une seule passe ne suffit presque jamais. Après chaque correction, relancez le même type de vérification. Insistez. Refaites-le plusieurs fois de suite. L’objectif : jusqu’à ce que l’IA dise qu’elle ne trouve plus de problème grave, puis une dernière passe “pour être sûr”.

Passe 1 — vue d’ensemble

Fais un audit de sécurité complet du projet. Sois strict et exigeant. Ne te limite pas à une checklist courte : cherche tous les problèmes réalistes, y compris ceux que je n’ai pas pensé à mentionner. Liste-les du plus grave au moins grave. Pour chaque problème : explique le risque en une phrase simple, puis corrige-le avant de passer au suivant. Ne t’arrête pas au premier problème trouvé.

Passe 2 — qui voit quoi / qui peut faire quoi

Vérifie tous les droits d’accès du projet. Règle : chaque personne ne doit pouvoir voir et faire que ce qui est prévu pour elle — rien de plus. Parcours tous les types de comptes et tous les écrans, actions, listes, détails, exports, fichiers, réglages. Cherche tout cas où quelqu’un peut accéder à trop d’infos ou faire une action qu’il ne devrait pas (y compris en changeant un lien ou un identifiant). Ne te limite pas aux exemples que je te donne. Corrige tout ce que tu trouves, un problème à la fois.

Passe 3 — pages et fichiers privés

Vérifie que tout ce qui doit rester privé le reste vraiment : pages, zones, listes, fichiers, documents, exports, liens directs. Teste sans être connecté, et aussi avec un compte qui ne devrait pas y avoir accès. Cherche tous les moyens d’y accéder sans permission, pas seulement les boutons visibles à l’écran. Ne te limite pas à une liste de pages que je te cite. Corrige tout ce que tu trouves.

Passe 4 — connexion

Vérifie tout le parcours de connexion et de compte : inscription, connexion, déconnexion, mot de passe oublié / réinitialisation, sessions. Règle : personne ne doit pouvoir entrer dans un compte qui n’est pas le sien, ni rester connecté après s’être déconnecté, ni contourner la connexion. Cherche aussi les faiblesses que je n’ai pas listées. Corrige tout ce que tu trouves.

Passe 5 — formulaires et spam

Repère tous les endroits où quelqu’un peut envoyer, créer, uploader ou modifier quelque chose sans être forcément un utilisateur de confiance. Pour chacun : qui peut le faire, où vont les infos, qui peut les lire ensuite, et peut-on abuser (spam, volume, inscriptions fake, contenu dangereux). Mets des limites raisonnables si besoin. Ne te limite pas aux formulaires évidents. Corrige tout ce que tu trouves.

Passe 6 — codes secrets

Cherche partout dans le projet toute info secrète qui ne devrait pas être exposée : codes, mots de passe, jetons, clés de services, ou tout équivalent. Le chat n’est pas le seul endroit à risque : pages, fichiers, réglages visibles, réponses d’erreur, etc. S’il y en a, corrige pour qu’ils ne soient plus exposés. Ne te limite pas à un seul type de secret.

Passe finale — recommencer

Refais un audit de sécurité complet comme si c’était la première fois, sans te fier à ce que tu as déjà corrigé. Cherche aussi les problèmes que les passes précédentes auraient pu manquer. Liste uniquement ce qui reste. S’il reste des problèmes, corrige-les un par un. S’il n’y en a plus de graves, dis-le clairement et indique ce que je dois encore tester moi-même (par exemple avec un second compte), sans prétendre que la liste de tests manuels est exhaustive.

Si l’IA dit “c’est bon” trop vite, renvoyez : “Relance le même audit. Cherche encore, y compris les cas que tu n’as pas encore regardés. Corrige tout ce que tu trouves. Ne sois pas indulgent.” Deux ou trois tours d’affilée, ce n’est pas excessif.

Avant de partager largement : checklist

1. S’il y a des comptes : testez avec un second compte.
2. Testez une page privée sans être connecté.
3. Testez déconnexion + “mot de passe oublié” si vous en avez.
4. Aucun code secret collé dans le chat : tout est dans Cloud, section Secrets.
5. Enchaînez plusieurs vérifications IA (pas une seule), jusqu’à ce que la liste soit propre.
6. Publiez : le contrôle se lance ; corrigez ce qui bloque.
7. Commencez avec un petit cercle, puis élargissez.

En résumé

L’IA ne rend pas un produit “non sécurisé par nature”. Elle le rend vite. À vous de vérifier l’essentiel : qui voit quoi et qui peut faire quoi, la connexion, où sont les codes secrets, ce que les gens peuvent envoyer, puis plusieurs contrôles + publication.

Pour créer ensuite : Créer un site ou une app avec l’IA.