L’audit

Trois jours pour savoir où vous en êtes, ce que coûte la réparation, et si réparer est la bonne décision.

Une grille appliquée à l’identique à chaque projet, un rapport écrit que n’importe quel développeur peut reprendre sans nous, et une restitution où quelqu’un répond à vos questions.

Audit complet — 1 450 € HTVA · 3 jours ouvrables · le rapport vous appartient

Demander l’audit complet Scanner mon site — gratuit

Le scan gratuit regarde la surface publique de votre site en ligne. L’audit complet, lui, lit le code et l’infrastructure. Voir les tarifs

01 — Les trois questions

Ce que l’audit répond

Un audit qui ne répond pas à une question précise ne sert à rien. Celui-ci en traite trois, dans cet ordre.

Qu’est-ce qui est dangereux aujourd’hui ?

Ce qui expose vos données ou peut arrêter votre activité, classé par gravité, avec l’endroit exact où ça se trouve.

Combien coûte la réparation ?

Un chiffrage poste par poste, pas un montant global. Vous pouvez décider de ne traiter que les points critiques.

Faut-il réparer ou refaire ?

Un verdict argumenté, que vous pouvez contester. C’est la question la plus chère à trancher au hasard, et la seule à laquelle on ne peut pas répondre sans avoir lu le code.

02 — Le périmètre

Ce que nous examinons

Dix familles, la même grille pour chaque projet. Ce que nous cherchons à savoir dans chacune :

Sécurité et secrets exposés: Est-ce que quelque chose qui devrait rester privé est visible depuis le navigateur ?
Règles d’accès aux données: Qui a le droit de lire et d’écrire quoi, et qu’est-ce qui reste accessible sans authentification ?
Tenue sous charge: Que se passe-t-il quand le nombre d’utilisateurs augmente, et qu’est-ce qui cède en premier ?Évalué par lecture du code et de la configuration. Un test de charge réel est une prestation distincte, sur environnement de recette et avec accord écrit : nous ne lançons jamais de charge sur votre production.
Dette structurelle et capacité à évoluer: Peut-on modifier une chose sans en casser une autre ?
Tests et filet de sécurité: Sauriez-vous qu’une modification a cassé quelque chose avant que vos utilisateurs le découvrent ?
Conformité RGPD: Quelles données personnelles sont collectées, sur quelle base, qui y a accès, et qu’est-ce qui a été dit aux utilisateurs ?
Sauvegardes et restauration: Pouvez-vous revenir en arrière, et est-ce que quelqu’un l’a déjà vérifié ?
Dépendances et hébergement: Sur quelles briques l’application repose-t-elle, et dans quel état sont-elles ?
Chaîne de déploiement: Comment le code arrive en production, et est-ce reproductible sans manipulation manuelle ?
Infrastructure et configuration de déploiement: L’infrastructure est-elle décrite et reproductible, les environnements séparés, et les secrets tenus hors du code et des journaux ?

Nous ne publions pas la grille détaillée : les critères de chaque famille, les seuils qui font qu’un constat est critique plutôt qu’important, et la façon dont l’ensemble se pèse pour aboutir à un verdict. C’est le travail lui-même, et c’est ce que vous achetez. Vous le recevez en entier, appliqué à votre projet, dans votre rapport.

03 — Les limites

Ce que nous ne touchons pas

L’audit est passif. Nous lisons, nous ne modifions rien.

Accès en lecture seule, sous NDA signé avant tout accès.
Aucune modification : le code, la base de données et la configuration restent exactement dans l’état où vous nous les confiez.
Aucun test actif : pas de tentative d’authentification, pas d’injection, pas de charge.
Vous restez propriétaire du code, des comptes et des hébergements.
Accès révocable à tout moment, et suppression de nos copies de votre code à la fin de la mission. Le rapport, lui, vous reste.
Nous ne montrons jamais votre code ni votre nom, à personne.

04 — Le livrable

Ce que vous recevez

Un rapport écrit, problèmes classés par gravité et par coût de correction.
Un verdict argumenté : réparer ou reconstruire.
Un chiffrage de la suite, poste par poste.
Une restitution d’une heure en visio, avec quelqu’un qui répond aux questions.

Le rapport

Le livrable est un document écrit, pas une présentation. Il est rédigé pour être repris par n’importe quel développeur : le vôtre, un freelance, une équipe interne. Il vous appartient, même si vous ne donnez pas suite, et vous pouvez le joindre à un dossier d’investisseur ou le transmettre à un client qui réclame des garanties.

Critique: À traiter avant toute autre chose. Exposition de données, faille exploitable, ou risque pour la continuité de l’activité.
Important: À corriger rapidement. Le risque est réel, mais il ne menace pas l’existence de l’application.
Mineur: À planifier. Gravité immédiate faible, coût qui augmente s’il n’est pas traité.

Vous pouvez lire un extrait de rapport d’audit réel, entièrement anonymisé : synthèse par gravité, une sélection de constats détaillés (emplacement, recommandation, effort estimé) et la conclusion.

Télécharger l’extrait de rapport (PDF)

05 — La préparation

Ce dont nous avons besoin

Pour démarrer, il nous faut des accès en lecture. Si vous ne les avez pas, dites-le à l’appel : c’est parfois le premier problème à régler.

Accès en lecture au dépôt de code.
Accès en lecture au projet Supabase, Firebase ou à la base de données.
Accès à la console d’hébergement.
La liste des services tiers utilisés.
Le nom de la personne qui a construit l’application, si elle est joignable.

Rien de tout cela n’est demandé avant l’appel de qualification.

Le forfait couvre les applications accessibles à distance. Si la vôtre vit sur un réseau interne fermé, nous intervenons aussi, mais sur site et sur devis : dites-le à l’appel plutôt que de le découvrir au démarrage.

06 — Le déroulé

Comment ça se passe

Un appel de vingt minutes, gratuit, pour vérifier que nous pouvons aider.
NDA signé, accès en lecture seule à votre projet.
L’audit, trois jours, sans aucune modification de votre application.
Restitution et décision. Vous êtes libre de partir avec le rapport.
Intervention, si vous le souhaitez, dans le cadre convenu.

07 — Les modalités

Durée, accès, prix

Durée: 3 jours ouvrables
Accès: Lecture seule, sous NDA
Modification: Aucune, rien n’est touché
Prix: 1 450 € HTVA, forfait
Paiement: À la commande
Déduction: Soustrait de votre facture si l’intervention qui suit atteint dix jours facturés. Ne s’applique pas aux abonnements de maintenance.

Nous ne donnons pas de devis ferme avant d’avoir lu le code. Un chiffrage annoncé sans avoir ouvert le projet est soit gonflé pour couvrir l’inconnu, soit revu à la hausse en cours de route. L’audit existe pour que le chiffrage soit sérieux.

Trois suites sont possibles à la remise du rapport, dont une où vous repartez simplement avec le document.Voir les tarifs et les suites.

Questions

Questions fréquentes

Pourquoi trois jours, et pas plus ?

Parce que le périmètre est fixe. Trois jours suffisent à couvrir les dix familles et à produire un verdict défendable. Un audit plus long serait un autre travail, et nous préférons vous vendre l’intervention que du temps d’analyse.

Et si vous ne trouvez rien de grave ?

Alors vous avez un document qui l’atteste, utile face à un client, un investisseur ou un assureur. Ça arrive, et nous le disons sans chercher à vendre une suite.

Pourquoi payer à la commande ?

Parce que le livrable est un document. Une fois qu’il est entre vos mains, il n’y a plus de levier. Cela vaut dans les deux sens : vous savez exactement ce que vous achetez et pour combien, avant de signer quoi que ce soit d’autre.

Vous intervenez sur quels outils et quelles technologies ?

Lovable, Bolt, Replit, Cursor, v0, Bubble, Windsurf, et plus généralement tout projet React ou Next avec une base Supabase, Firebase ou Postgres. Si votre cas sort de là, nous le disons à l’appel plutôt qu’après.

Combien de temps pour corriger, une fois l’audit fait ?

Les points critiques de sécurité se traitent généralement en quelques jours. Une remise à niveau structurelle se compte en semaines. Le rapport donne une fourchette par poste, pas une promesse globale.

Est-ce que vous signez un engagement de résultat ?

Sur l’audit, oui : le rapport et la restitution sont dus. Sur la correction, nous nous engageons sur un périmètre et un plafond de temps, pas sur une promesse de résultat que personne ne peut tenir honnêtement sur du code qu’il n’a pas écrit.

Vous travaillez à distance ou sur place ?

À distance par défaut, ce qui n’enlève rien à la qualité de l’audit. Déplacement possible en Belgique, en France et au Luxembourg pour la restitution ou un comité de direction.

Demander l’audit complet

Six questions pour savoir si nous sommes les bons interlocuteurs. Réponse sous un jour ouvrable. Aucun accès à votre code n’est demandé à ce stade.

Demander l’audit complet

Ou scannez votre site gratuitement — un premier aperçu, sans engagement.