Sécurité d’une application Bolt.new : ce que l’IA ne vérifie pas pour vous

Bolt.new construit et lance une application JavaScript complète dans le navigateur. En une après-midi, vous avez un produit en ligne. Mais l’agent optimise pour « ça marche », pas pour « c’est sûr » : une clé collée pour tester une API reste souvent dans le code publié.

Les projets Bolt utilisent souvent Vite et Supabase. Deux réflexes à connaître : toute variable préfixée VITE_ finit dans le JavaScript envoyé au navigateur, et une base Supabase sans règles RLS est lisible par tous.

Dix analyses offertes chaque mois, sans carte bancaire. Premier rapport en quelques minutes.

Analyser mon application gratuitement

Les failles les plus fréquentes

Clés d’API exposées dans le navigateur

Une clé OpenAI, Stripe ou Resend appelée depuis le front est lisible par n’importe quel visiteur, qui peut l’utiliser à vos frais.

Base de données sans règles d’accès

Tables Supabase sans RLS ou avec des politiques « true » : les données de tous vos utilisateurs sont accessibles avec la clé publique.

Dépendances vulnérables

L’agent installe des paquets npm sans vérifier leurs failles connues. Une version vulnérable d’un seul paquet peut suffire.

Site en ligne mal configuré

Pas de HTTPS forcé, pas d’en-têtes de sécurité, cookies sans protection : des réglages invisibles mais exploitables.

Ce que Citadel vérifie (15 contrôles actifs)

Analyse du code, des dépendances et des secrets selon OWASP et CWE. Chaque faille arrive avec son explication et le prompt de correction à coller dans votre assistant.

Clé service_role utilisée dans le code client CWE-798 · A07
Tables exposées sans Row Level Security activée CWE-284 · A01
Politiques permissives : USING (true) ou WITH CHECK (true) CWE-284 · A01
Secrets dans le code et les fichiers de configuration (plus de 100 types de clés) CWE-798 · A07
Dépendances npm et Composer avec CVE ou avis GHSA publiés A06 · CVSS
Mots de passe hachés en MD5, SHA-1 ou sans sel CWE-916 · A02
L’adresse http:// redirige vers https:// CWE-319 · A02
HSTS présent et de durée suffisante CWE-319 · A05
Politique CSP présente, sans unsafe-inline ni unsafe-eval CWE-693 · A05
Protection contre l’intégration dans une autre page (clickjacking) CWE-1021 · A05
Cookies Secure, HttpOnly et SameSite CWE-614 · CWE-1004
CORS ouvert à tous les sites avec les cookies CWE-942 · A05
En-têtes nosniff et Referrer-Policy, version du serveur masquée CWE-693 · CWE-200
Formulaires envoyés en clair, ou mot de passe passé dans l’adresse CWE-319 · CWE-598
Formulaires sans jeton anti-CSRF, ou envoyés à un autre domaine CWE-352 · CWE-201

Questions fréquentes

Comment analyser une app Bolt.new ?

Téléchargez le projet depuis Bolt (ou poussez-le sur GitHub), puis envoyez l’archive à Citadel ou reliez le dépôt. Vous pouvez aussi faire contrôler le site déployé après avoir prouvé que le domaine est à vous.

Où mettre mes clés d’API dans un projet Bolt ?

Côté serveur uniquement : une fonction serveur ou une Edge Function Supabase, avec la clé dans une variable d’environnement sans préfixe VITE_. Le navigateur appelle votre fonction, jamais l’API directement.

Mon code est-il conservé ?

Non. Il est analysé dans un conteneur isolé, sans accès à Internet, puis supprimé dès la fin de l’analyse. Seuls les résultats sont conservés, secrets masqués.

Combien ça coûte ?

L’offre Gratuite comprend dix analyses par mois, sans carte bancaire. Les offres payantes ajoutent Citadel IA, l’analyse à chaque push et le travail en équipe.

Les autres guides

Sécurité du vibe coding : la checklist avant de mettre votre app en ligne

Par outil

Par technologie