Une liste de vérification avant de lancer une appli créée par IA, avec un test pour chaque point.

C’est le trou le plus courant dans le code généré. Tout ce que le navigateur télécharge est public. Next.js insère chaque variable NEXT_PUBLIC_ dans le JavaScript envoyé au navigateur au moment de la compilation, et Vite fait de même avec les variables VITE_; la documentation de Vite précise qu’elles ne doivent pas contenir d’information sensible comme des clés d’API. Une clé secrète Stripe, une clé OpenAI ou une clé secrète Supabase (service_role) sous un de ces préfixes, n’importe qui peut la copier.

Vérifiez : compilez en local et fouillez le résultat, puis l’historique. Au moindre résultat, déplacez l’appel dans une route serveur et changez la clé : supprimer la ligne ne la dépublie pas.

# Build the way production does, then search what ships to the browser
npm run build
grep -rEo "sk_live_[A-Za-z0-9]{8,}|sk-[A-Za-z0-9_-]{20,}|service_role|SECRET" \
  .next/static dist build 2>/dev/null | sort -u

# And the history: a key committed once is a key to rotate
git log -p | grep -nE "sk_live_|sk-[A-Za-z0-9_-]{20,}|service_role" | head

Les applis générées protègent souvent la page et oublient l’API derrière. La page cache le bouton; le point de terminaison répond quand même à quiconque l’appelle. Chaque route qui lit ou écrit des données d’utilisateur doit trouver l’utilisateur connecté et filtrer en conséquence, côté serveur.

Vérifiez avec deux comptes. Connecté comme B, ouvrez une fiche de A en changeant l’identifiant dans l’URL ou la requête, puis essayez de la modifier. Vous devriez recevoir un 403 ou un 404. Appelez ensuite la même API sans témoin : curl -i https://votreappli.ca/api/orders/123 doit renvoyer 401.

Les applis exportées de Lovable ou de Bolt parlent souvent à Supabase directement depuis le navigateur : les politiques de la base sont alors la seule protection. Le guide de Supabase demande d’activer la sécurité au niveau des lignes sur chaque table d’un schéma exposé et de ne jamais utiliser une clé secrète dans le navigateur. Lancez ceci dans son éditeur SQL :

-- Every table in an exposed schema should say true
select relname, relrowsecurity
from pg_class
where relnamespace = 'public'::regnamespace and relkind = 'r'
order by relrowsecurity, relname;

• Aucun `.env` dans git. git ls-files | grep -E '(^|/)\.env' ne doit rien afficher, sauf un fichier d’exemple.
• Échouer au démarrage, pas à la première requête. Lisez les variables obligatoires au démarrage et quittez en nommant celle qui manque. Un plantage au déploiement coûte moins cher qu’un paiement en panne à 2 h du matin.
• Les valeurs de production ne sont pas celles de test. Vraies clés de paiement, base de production, vrai expéditeur de courriels.
• Les aperçus ne touchent pas aux données de production. Chez Canner, les aperçus de demandes de tirage partagent la base du projet. Si le projet contient de vrais identifiants, désactivez les aperçus et gardez un projet de préproduction distinct avec des clés de test (comment).

Une pile d’appels à l’écran donne à un attaquant vos chemins de fichiers, les versions de vos bibliothèques et parfois votre SQL. Les visiteurs doivent voir une page d’erreur simple; vous, la pile complète.

Vérifiez : appelez une route avec un mauvais identifiant ou provoquez une exception, et lisez le corps de la réponse. Aucune pile ne doit y figurer. Django exige DEBUG = False; les cadriciels Node, NODE_ENV=production, que Canner définit pour vous. Retrouvez ensuite cette erreur dans vos journaux.

Chez Canner, les Journaux regroupent les erreurs de Node, Python, Ruby, PHP, Go, Java et Rust, les comptent par déploiement et relient chacune au commit où elle est apparue. Un « Application error … Digest » de Next.js se colle dans la recherche pour retrouver la vraie erreur (documentation des journaux).

Une sauvegarde jamais restaurée, c’est un pari. Activez les sauvegardes planifiées, puis restaurez-en une et regardez dedans.

Chez Canner, une politique de sauvegarde dans l’onglet Base de données s’exécute une fois par jour avec Démarrage et jusqu’à toutes les heures sur les forfaits payants. Restaurez avec Examiner d’abord : la sauvegarde arrive dans une base temporaire que vous pouvez interroger et comparer à la base en ligne, sans toucher à la production. Canner restaure aussi chaque nuit votre sauvegarde la plus récente pour la tester et la marque Vérifiée. Voir Postgres Canner et la documentation des bases de données.

Les sauvegardes contiennent les données, pas la configuration. Exportez vos variables d’environnement (canner env --reveal --json) dans un gestionnaire de mots de passe, jamais à côté de la sauvegarde. Sans la clé qui a chiffré quelque chose dans vos données, une restauration ne peut pas le lire.

Ajouter le domaine, c’est la partie facile : deux enregistrements DNS, et Canner émet et renouvelle le certificat HTTPS (domaines personnalisés). Ce qui casse, c’est tout ce qui pointe encore vers l’ancienne URL d’aperçu.

• Les URI de redirection OAuth chez Google, GitHub ou Microsoft.
• L’URL du site et la liste de redirections permises de votre fournisseur d’authentification.
• Les points de terminaison de webhooks, Stripe et autres.
• Les listes CORS et toute variable APP_URL ou NEXTAUTH_URL.

Connexion, inscription, réinitialisation du mot de passe, formulaires de contact et toute route qui appelle une API d’IA payante. Sans limite, la première est une cible pour deviner des mots de passe et la dernière, une facture.

Un projet Canner exécute un seul processus : un limiteur en mémoire voit donc tout le trafic du projet. Il se remet à zéro à chaque déploiement et réveil, ce qui convient pour freiner les connexions. Pour une limite qui doit survivre à un redémarrage, comme un quota quotidien d’IA par utilisateur, comptez dans Postgres; Canner n’offre pas Redis.

Vérifiez :

# 30 bad logins in a row: the last ones should be 429, not 401
for i in $(seq 1 30); do
  curl -s -o /dev/null -w "%{http_code} " -X POST https://yourapp.ca/api/login \
    -H 'content-type: application/json' -d '{"email":"a@b.c","password":"x"}'
done; echo

Vous devez pouvoir répondre à « qu’est-il arrivé à cet utilisateur à 14 h 03? ». Journalisez une ligne par requête avec l’identifiant de l’utilisateur, et les erreurs avec leur pile.

Ne journalisez pas le corps des requêtes des routes d’authentification, les en-têtes Authorization ni les numéros de carte complets. Canner retire code, state, token, password, api_key et d’autres paramètres d’URL semblables de ses propres journaux de requêtes, mais ne touche pas à ce que votre appli écrit (lesquels).

Vérifiez : cherchez password, Bearer et sk_ dans vos journaux. Rien ne doit sortir.

Si votre appli recueille des renseignements personnels auprès de personnes au Québec, la loi québécoise sur le secteur privé, modifiée par la Loi 25, s’applique à vous, qui que vous soyez. Voici les parties qui reviennent à l’équipe de l’appli. C’est notre lecture de la loi, pas un avis juridique.