Lovable vérifie déjà la sécurité. Pourquoi Rustine ?
Sommaire
Lovable lance un scan de sécurité à chaque publication, et c'est une bonne base. Rustine regarde ton app d'ailleurs : de l'extérieur, comme un visiteur, puis ta base en ligne une fois le site prouvé. Les deux se complètent.
Ce que fait Lovable vient de sa documentation et de son blog, lus le 15 octobre 2026 (liens dans le tableau et en bas de page). Une erreur ? Écris-nous à hello@rustine.io, on corrige.
Point par point
| Critère | Rustine | Lovable (relevé le 15/10/2026) |
|---|---|---|
| Quand | Quand tu veux, et chaque semaine avec Solo et Pro. | Scan rapide automatique à chaque publication. Scan approfondi à la demande, programmable seulement en Enterprise. [1] |
| D'où il regarde | Du dehors, sur le site en ligne : en-têtes, certificat, JavaScript servi, fichiers exposés. Puis ta base et ses buckets, après preuve. | Du dedans, sur le projet : règles d'accès de la base, dépendances, exposition du serveur MCP. Le scan approfondi relit tout le code. [1] |
| Clés secrètes | Cherchées dans le JavaScript que ton site sert vraiment (Stripe, OpenAI, service_role…), dès le scan gratuit. | Cherchées par le scan approfondi. Lovable te guide vers ses Secrets plutôt que le code. [1][2] |
| Correction | Un prompt à coller dans Lovable. AI Fix avec Solo et Pro : Rustine écrit le code. | Correction automatique des failles critiques de la base et des dépendances. « Try to fix all » : 10 correctifs gratuits, chacun redevient disponible 24 h après usage. [1] |
| Test d'intrusion | Non. Rustine lit, il n'attaque pas : jamais d'exploitation. | Connecteur Aikido : un test de 1 à 4 heures, annoncé à 100 $ par test le 24/03/2026, facturé par Aikido. [3][1] |
| Ce qu'il couvre | Tout site, fait avec Lovable, Bolt, Cursor ou WordPress, et ton code GitHub. | Les projets Lovable. [1] |
Ce que le scan de Lovable fait bien
- Il tourne tout seul avant chaque publication, sans que tu y penses. [1]
- Il lit ton projet de l'intérieur, ce qu'aucun scan externe ne peut faire : les règles de ta base, tes dépendances, et tout ton code avec le scan approfondi. [1]
- Un espace de travail peut bloquer la publication tant qu'une faille critique reste ouverte. [1]
Ce que Rustine ajoute
- Le site tel qu'il est en ligne : ce que le navigateur reçoit vraiment, avec ton hébergeur, ton domaine et ton certificat.
- Ta base testée comme un visiteur la voit, après preuve : combien de lignes ta clé publique laisse lire, sans en lire une.
- Un nouvel audit chaque semaine, et un e-mail quand une faille publiée touche une version que tu utilises (Solo, Pro).
- Le même suivi si ton app quitte Lovable : code exporté sur GitHub, autre hébergeur, autre outil.
Et le Security Advisor de Supabase ?
- Si ton app Lovable tourne sur Supabase, son tableau de bord a ses propres alertes : tables sans RLS (erreur), policies toujours vraies comme using (true) (avertissement), buckets publics qu'on peut lister. Regarde-les, elles sont faites pour ça. [4]
Quand l'un suffit
- Une app perso, sans données sensibles : le scan de Lovable, plus un œil sur le Security Advisor de Supabase.
- Une app avec des clients, des paiements ou des données personnelles : ajoute un regard extérieur. Lovable écrit lui-même que ses outils ne remplacent pas une revue de sécurité complète. [1]
Scanne ton site, c'est gratuit
Colle ton adresse : le scan rapide lit ce que voit un visiteur, rien de plus. Le détail s'affiche une fois que tu as prouvé que le site est à toi.
Outils gratuitsTest des en-têtes de sécurité
Questions
Le scan de sécurité de Lovable suffit-il ?
Pour une app sans données sensibles, c'est une bonne base. Dès que tu as des clients ou des paiements, ajoute un regard extérieur : Lovable dit lui-même que ses outils ne remplacent pas une revue complète.
Rustine modifie-t-il mon projet Lovable ?
Non. Rustine lit ton site en ligne et, si tu le branches, ton dépôt GitHub, en lecture seule. Le correctif, c'est toi ou ton agent qui l'appliquez.
Rustine fait-il un test d'intrusion comme Aikido ?
Non. Rustine ne tente aucune attaque : il lit ce qui est exposé, et teste ta base en lecture une fois le site prouvé.
Sources
- Lovable, Security (documentation), consulté le 15/10/2026
- Lovable, Secrets (documentation), consulté le 15/10/2026
- Lovable, Announcing pentesting (March 24, 2026), consulté le 15/10/2026
- Supabase, Performance and Security Advisors, consulté le 15/10/2026