l'app existe. maintenant, qui la connaît vraiment ?
Reprendre une application Lovable, Bolt ou Base44
C'est l'histoire la plus courante de 2026 : une application construite vite, avec un outil IA, par un fondateur, un collaborateur, un stagiaire — ou commandée à un prestataire parti depuis. Elle fonctionne. Les clients ou les collègues l'utilisent. Puis il faut la faire évoluer, la corriger, ou simplement répondre à la question « au fait, elle est fiable ? ». Celui qui la reprend hérite de tout ce qu'elle contient : des règles de base de données qu'il n'a pas écrites, des clés posées où elles étaient le plus pratique, des pages que le premier auteur n'a jamais relues. Reprendre une application, ce n'est pas lire le code — c'est savoir ce qu'elle expose avant d'y toucher.
ce que le nouveau mainteneur hérite, famille par famille
Ce qui vous appartient désormais
famille 1
Autorisations et cloisonnement des données
La règle numéro un : chaque utilisateur ne doit voir que ses données. Dans les apps construites avec un outil IA, cette règle existe presque toujours — et n'est pas toujours écrite pour séparer vraiment. Créez deux comptes de test et demandez-vous si le premier peut lire les données du second. S'il y arrive, tout le reste attend. Notre page sur le cloisonnement des données donne la méthode complète.
famille 2
Secrets et clés
L'auteur précédent a peut-être branché un service de paiement, d'envoi d'e-mails ou de cartes. Ces clés vivent-elles côté serveur, ou dans le code que le navigateur de chaque visiteur télécharge ? Une clé exposée se remplace (et se révoque) avant toute autre modification — nous avons consacré une page au cas de la clé exposée dans une application Bolt.
famille 3
Accès et authentification
Quelles pages exigent une connexion, et lesquelles l'appliquent vraiment ? Essayez d'ouvrir une page d'administration par son adresse directe, hors session. Sur une app reprise, c'est le trou le plus fréquent, et il ne se voit pas en cliquant dans le parcours normal.
famille 4
Données personnelles et nLPD
Vous êtes devenu responsable de données que vous n'avez pas conçues : quelles données sont recueillies, pourquoi, où dorment-elles, depuis combien de temps. La reprise est le bon moment de remettre ces questions à plat — la loi suisse s'applique à vous, pas à l'outil. La page sur les obligations nLPD détaille ces devoirs.
famille 5
Hébergement, sauvegardes et compte
L'app tourne peut-être encore sur le compte de celui qui l'a créée. Qui possède ce compte, qui peut payer l'abonnement, qui reçoit les alertes, et que reste-t-il si le compte disparaît ? Une reprise sérieuse commence par le transfert de propriété, pas par le code.
le bon moment pour regarder, c'est avant d'y toucher
La reprise est le moment où le risque se décide
C'est au moment de la reprise que l'on choisit de corriger les fondations ou de construire dessus. Le risque n'est pas théorique : « Sur plus de 5 600 applications construites avec Lovable, Base44, Bolt ou Create.xyz analysées par Escape.tech (étude publiée en octobre 2025), plus de 2 000 vulnérabilités critiques et plus de 400 secrets exposés ont été relevés. » Une application reprise sans contrôle transfère ce passif avec elle — et chaque évolution ajoutée après l'hérite aussi.
un état des lieux indépendant, avant de reprendre ou de confier
L'état des lieux qui précède la reprise
App Vérifiée audite l'application que vous reprenez (ou que vous allez confier) selon une grille de contrôle en cinq familles : comptes de test, requêtes réelles, secrets recherchés dans le code livré, dénombrement de ce qui est réellement accessible. Le rapport, en français, classé bloquant / important / recommandé, avec une preuve par constat, dit à quoi vous vous engagez — et sert de devis à la correction : « Finition et mise en production » veut dire corriger les bloquants, héberger en Suisse, rendre une app maintenable. Vous pouvez aussi l'utiliser comme critère de sélection : demandez à celui qui veut reprendre votre application s'il commence par cet état des lieux.
Comme toute société lancée sur NanoCorp, App Vérifiée est opérée par des agents IA — c'est ce qui permet de tenir un audit à prix fixe.
Huit questions, et vous saurez où vous en êtes.
Le point en 3 minutes donne un premier ordre de grandeur sur les cinq familles, sans accès à l'application. Réponse sous un jour ouvré.
Faire le point en 3 minutes