Sumbrel analyse ton app en continu, détecte les failles de sécurité et t'alerte avant qu'elles te coûtent des clients et de l'argent.
Garry Tan1,1 M abonnés
Pieter Levels971 k abonnés
Guillermo Rauch905 k abonnés
Greg Isenberg727 k abonnés
Claude, Cursor, Lovable, Bolt : l'IA code ton SaaS en un week-end. Mais elle ne pense pas
à ta clé Stripe laissée dans le front, ni au dossier .git resté en ligne.
du code généré par IA introduit une faille du Top 10 OWASP.
clés API et secrets exposés, trouvés dans 5 600 apps vibe-codées déjà en production.
apps Lovable analysées laissaient leur base de données lisible par n'importe qui (170 sur 1 645).
La bonne nouvelle : la plupart de ces failles se voient de l'extérieur. Donc Sumbrel les voit aussi.
Les fondateurs de Sentry, Supabase, Replit, Vercel et Lovable, le patron de Y Combinator, des indie hackers et des hackers éthiques : ce qu'ils ont écrit sur la sécurité des apps en 2026.
Rhys Sullivan@RhysSullivan
La première app vibe-codée que j'ai vraiment épluchée n'avait aucune règle RLS, et toutes les données de ses clients étaient exposées.
Fondateur dans la promo 2026 de Y Combinator.
Voir sur X
Jamieson O'Reilly@theonejvo
Ils exposent toute leur base de données au public, sans aucune protection, clés d'API secrètes comprises.
À propos de Moltbook, le réseau social d'agents IA dont tout le monde parlait (1,8 M de vues).
Voir sur X
Prajwal Tomar@PrajwalTomar_
Sans RLS, n'importe qui peut ouvrir les DevTools et lire toute ta base de données. […] Des clés d'API dans le front, c'est game over.
Dans sa checklist avant lancement pour les apps codées avec l'IA (950 000 vues).
Voir sur X
Pieter Levels@levelsio
Je suppose qu'à un moment il a été piraté, la clé Claude à l'intérieur a été exposée, puis ils ont attendu des mois avant de l'utiliser.
Une clé d'API restée sur un vieux serveur, utilisée par d'autres des mois plus tard.
Voir sur X
Tony Dinh@tdinh_me
J'ai brûlé environ 70 $ de tokens, et ça a donné 30+ PR : rien de critique, mais de vraies failles de sécurité.
En passant un outil d'audit de sécurité sur le code de son propre SaaS.
Voir sur X
Peer Richelsen@peer_rich
« Hé Claude, trouve les failles dans ce dépôt » : le fils énervé de mon voisin peut taper ça dans un terminal.
Sur les attaques menées par IA, qui ont changé la sécurité des apps.
Voir sur X
Pop Punk@PopPunkOnChain
Si tu veux des clés d'API gratuites, ouvre juste l'onglet réseau de littéralement n'importe quelle app vibe-codée.
En 24 h de vérifications, il voit des identifiants privés fuiter 9 fois sur 10 (346 000 vues).
Voir sur X
Burak Eregar@burakeregar
Aujourd'hui j'ai PIRATÉ 5 apps d'indie hackers connus sur X […] les données personnelles de 500 000 utilisateurs.
Il a prévenu chaque fondateur : « on code vite avec l'IA, mais ça comporte d'énormes risques ».
Voir sur X
Greg Isenberg@gregisenberg
L'IA a rendu 100 fois plus facile de construire. Elle a aussi rendu 100 fois plus facile d'attaquer.
Le jour de l'intrusion chez Vercel.
Voir sur X
David Cramer@zeeg
C'est le pire piège de sécurité qu'on puisse imaginer. Une petite erreur, et tes données sont accessibles au monde entier.
À propos des règles d'accès RLS des bases de données (6,8 M de vues).
Voir sur X
Paul Copplestone@kiwicopple
La sécurité ne se vibe-code pas. Elle doit être testée, retestée, et testée encore.
En présentant les outils de sécurité de Supabase.
Voir sur X
Garry Tan@garrytan
Tu as bien plus de chances de te faire pirater par ta surface d'attaque d'infrastructure que par des bugs dans ton code.
En publiant un guide de sécurité pour les fondateurs.
Voir sur X
Guillermo Rauch@rauchg
Avec la paranoïa qui grandit face à des adversaires IA toujours plus sophistiqués, comment faire confiance à une boîte de deux personnes et un chien ?
Sur ce que la sécurité change pour les petites startups.
Voir sur X
Amjad Masad@amasad
Des apps que tu as rendues sûres peuvent soudain devenir vulnérables. […] En général, il faut des ingénieurs salariés pour surveiller ça.
Quand une faille apparaît dans une de leurs dépendances.
Voir sur X
Gergely Orosz@GergelyOrosz
Peu de choses sont plus humiliantes pour une entreprise que d'apprendre par un client qu'elle a été piratée.
Après la fuite d'une startup d'IA, découverte par son client Vercel.
Voir sur X
Anton Osika@antonosika
L'équipe a appris l'incident sur X, parce que notre propre processus de signalement des failles était cassé.
Après un incident de sécurité chez Lovable.
Voir sur XExtraits de publications publiques, traduits de l'anglais ; chaque carte renvoie à l'original. Aucune de ces personnes n'est liée à Sumbrel ni ne parle de Sumbrel.
Pas besoin d'être un génie. Des robots testent ces erreurs sur des milliers de sites chaque jour, automatiquement. Sumbrel fait les mêmes contrôles, pour toi.
Voir ce qu'il voit, avant luiindex-8f2a.js : sk_live_51Hx…
De quoi lister tes clients, rembourser ou créer des paiements à ta place.
GET /.git/HEAD → 200 OK
Ton code source complet, récupérable par n'importe qui.
jquery 1.8.3 → 5 CVE
Des failles publiques, documentées, avec des exploits déjà prêts.
index-8f2a.js.map → 200 OK
Ton code original, lisible en clair, commentaires compris.
_dmarc : p=none
N'importe qui peut envoyer des emails en se faisant passer pour toi.
failles connues. Chaque jour. Sumbrel compare tes librairies aux failles publiques, plus de 200 nouvelles par jour, et ajoute 30+ contrôles de configuration.
Chaque faille arrive avec le prompt exact pour corriger la faille. Sumbrel rescanne ton URL toutes les 24 heures, et ton tableau de bord montre l'évolution de ta sécurité. Exemple sur une app fictive.
staging.assets/index-8f2a.js : sk_live_51Hx…
Ce que ça permet : une clé sk_live donne accès à ton compte Stripe. Lister tes clients, rembourser, créer des paiements.
GET /.env → 200 OK · 1,2 ko
CVE-2020-11022, CVE-2020-11023, CVE-2019-11358…
assets/index-8f2a.js.map → 200 OK
Content-Security-Policy : (absent)
_dmarc.monapp.exemple : p=none
GET /.well-known/security.txt → 404
assets/index-8f2a.js : sk_live_51Hx…
Cette clé donne accès à ton compte Stripe : lister tes clients, rembourser, créer des paiements.
// app/api/checkout/route.ts : la clé secrète reste côté serveur
import Stripe from "stripe";
const stripe = new Stripe(process.env.STRIPE_SECRET_KEY!);
export async function POST(req: Request) {
const { priceId } = await req.json();
const session = await stripe.checkout.sessions.create({
mode: "subscription",
line_items: [{ price: priceId, quantity: 1 }],
success_url: `${process.env.APP_URL}/merci`,
cancel_url: `${process.env.APP_URL}/tarifs`,
});
return Response.json({ url: session.url });
}
// Côté front : plus aucune clé secrète, on appelle la route
const { url } = await fetch("/api/checkout", {
method: "POST",
body: JSON.stringify({ priceId }),
}).then((r) => r.json());
window.location.href = url;
Dans mon projet, une clé Stripe secrète (sk_live_…) est exposée dans le bundle front : assets/index-8f2a.js. 1. Trouve tous les endroits où la clé secrète Stripe est utilisée côté client et retire-la du code front. 2. Déplace les appels Stripe qui ont besoin de la clé secrète dans une route serveur (API route ou edge function). Cette route lit la clé depuis une variable d'environnement serveur. 3. Vérifie qu'aucune variable secrète n'a un préfixe exposé au navigateur (VITE_, NEXT_PUBLIC_, REACT_APP_). 4. Côté front, n'utilise que la clé publique pk_live_. 5. Ne modifie rien d'autre et liste les fichiers changés.
Sumbrel lit uniquement ce que ton site montre publiquement : en-têtes, certificat, DNS, JavaScript servi. Exactement ce que voit un navigateur.
Les tests sur .env, .git ou les fichiers de configuration ne se lancent que si tu prouves que tu contrôles le domaine : une balise dans ton site, un fichier ou un enregistrement DNS. La preuve est revérifiée à chaque scan.
Pas un pentest complet, ni une tentative d'intrusion. Sumbrel repère les erreurs de configuration et les fuites visibles de l'extérieur, celles que les robots exploitent en premier. Aucun outil ne garantit une sécurité à 100 %.
Un audit ponctuel coûte des milliers et ne vaut que pour un seul jour. Sumbrel te montre chaque jour ce qu'un attaquant verrait, avec la correction prête à coller. Pour le prix d'un abonnement streaming.
Pro
Tout inclus
Une seule formule. Toutes les corrections, des scans à la demande, la surveillance avec alertes, le scan approfondi et l'analyse de chaque déploiement.
Tes librairies vérifiées chaque jour contre les failles publiques (CVE). Plus de 200 nouvelles par jour, sans que tu aies à suivre.
.env, .git, configs exposées : les failles les plus graves, vérifiées sur ton domaine.Oui. Le scan passif lit uniquement ce que ton site montre publiquement, comme un navigateur. Les tests plus poussés (.env, .git, fichiers de configuration) ne se lancent qu'après avoir prouvé que tu contrôles le domaine : une balise dans ton site, un fichier ou un enregistrement DNS.
Non. Sumbrel ne tente aucune intrusion et n'envoie aucune attaque. Il fait des requêtes de lecture, à un rythme raisonnable, comme un visiteur attentif.
Pour ouvrir ton compte et y garder ton plan d'action, avec la correction de chaque point prioritaire. Le scan de surface, lui, lit ce que ton site montre à tout le monde : son résultat n'a rien de secret et ne contient aucune preuve exploitable. Ce qui touche vraiment à ta sécurité, le scan approfondi (fichiers .env, dépôt .git, sauvegardes…), ne se lance qu'après une preuve que le domaine est à toi : un enregistrement DNS (TXT), revérifié avant chaque scan.
Le scan gratuit te donne ton score et un aperçu des failles. Avec Pro, tu vois tout le détail, tu reçois la correction prête pour chaque faille, ton URL est rescannée toutes les 24 h et tu es alerté dès qu'un déploiement ouvre une nouvelle faille.
Oui. Chaque faille est expliquée simplement, avec ce qu'elle permet à un attaquant. Pour la corriger, tu copies le prompt dans Claude ou Cursor, ou tu colles le code fourni.
Oui, et c'est même là que Sumbrel est le plus utile. Il reconnaît ces outils et vérifie en priorité les erreurs qu'ils laissent le plus souvent : clés dans le front, fichiers exposés, en-têtes manquants.
Non. Sumbrel repère les erreurs de configuration et les fuites visibles de l'extérieur, celles que les robots exploitent en premier. Un pentest va plus loin dans la logique de ton app. Les deux se complètent.
Oui. Sumbrel Pro est sans engagement et s'annule en un clic depuis ton compte.
Des guides concrets pour contrôler ton SaaS à la main : règles Supabase et Firebase, en-têtes, secrets dans le JavaScript… Chaque chiffre renvoie à sa source.