Ton app Bolt est-elle sécurisée ?

Bolt écrit ton app, la met en ligne et lui donne une base : la sienne, ou Supabase. Son audit de sécurité vérifie la base, pas le reste du projet. Voici ce qui reste à regarder, comment, et ce que Rustine vérifie pour toi.

En bref

1. Une clé dans une variable VITE_

Une variable qui commence par VITE_ est copiée dans le JavaScript publié. Vite le dit noir sur blanc : elle ne doit jamais contenir de clé d'API.

Vérifie toi-même

Range tes clés dans les Secrets de Bolt : seules tes fonctions serveur les lisent. Dans ton code, aucune clé secrète derrière VITE_.

Ce que Rustine vérifie

Dès le scan gratuit, Rustine cherche les clés secrètes (Stripe, OpenAI, Anthropic, service_role…) dans le JavaScript servi. Sur GitHub, il repère une clé dans une variable VITE_ ou NEXT_PUBLIC_.

Scan gratuitCode GitHub · Solo, Pro

Sources : [1][2]

2. Une base trop ouverte

Une permission ouverte ou une policy RLS manquante, et tes tables se lisent avec la clé publique de ton app.

Vérifie toi-même

Lance l'audit de sécurité de Bolt : il cherche justement les permissions ouvertes et les policies RLS manquantes. Sur Supabase, regarde aussi le Security Advisor.

Ce que Rustine vérifie

Si ton app tourne sur Supabase : après preuve, l'audit complet compte les lignes lisibles avec la clé anon, et Supabase connecté, il lit tes policies. Sur GitHub, il lit tes migrations. Une autre base n'est pas testée.

Audit complet · Solo, ProSupabase connecté · Solo, ProCode GitHub · Solo, Pro

Sources : [3][4]

3. La clé service_role dans le front

Cette clé ignore les règles de ta base. Dans le navigateur, elle donne tout à tout le monde.

Vérifie toi-même

Dans ton code, cherche SERVICE_ROLE et sb_secret_ : seulement côté serveur. Si elle a été publiée, change-la tout de suite.

Ce que Rustine vérifie

Dès le scan gratuit dans le JavaScript servi, et sur GitHub dans tes variables publiques.

Scan gratuitCode GitHub · Solo, Pro

Sources : [5]

4. Des source maps publiées

Une source map redonne ton code source lisible, commentaires et noms de fichiers compris. Une clé oubliée dedans se lit aussi.

Vérifie toi-même

Ouvre les outils de développement de ton navigateur, onglet Sources : si tu retrouves tes fichiers d'origine, les source maps sont en ligne.

Ce que Rustine vérifie

Après preuve, l'audit complet ouvre quelques source maps et y cherche des secrets et des chemins sensibles.

Audit complet · Solo, Pro

5. Un .env ou un .git en ligne

Hébergée hors de Bolt, ton app peut publier par erreur son fichier .env ou son dossier .git, avec tes clés et tout ton code.

Vérifie toi-même

Ouvre ton-site.fr/.env et ton-site.fr/.git/HEAD : tu dois tomber sur une page d'erreur.

Ce que Rustine vérifie

Dès le scan gratuit, Rustine vérifie les fichiers .env courants et le dossier .git, en ne lisant que leurs premiers octets.

Scan gratuit

6. Des en-têtes de sécurité absents

Sans HSTS, CSP ou protection contre l'affichage dans un cadre, ton site se défend moins bien face aux scripts injectés et aux faux sites qui l'encadrent.

Vérifie toi-même

Sur ton domaine, les réglages de ton hébergeur ajoutent ces en-têtes. Demande à ton agent de les écrire pour ton hébergeur.

Ce que Rustine vérifie

Dès le scan gratuit : HSTS, CSP, protection contre les cadres, nosniff, Referrer-Policy, Permissions-Policy, redirection HTTPS et certificat.

Scan gratuit

Questions

Sources

1. Vite, Env Variables and Modes, consulté le 15/10/2026
2. Bolt, Secrets, consulté le 15/10/2026
3. Bolt, Bolt Database, consulté le 15/10/2026
4. Supabase, Performance and Security Advisors, consulté le 15/10/2026
5. Supabase, Understanding API keys, consulté le 15/10/2026