Question 1

Qu’est-ce qu’AppSafe ?

Accepted Answer

AppSafe est un scanner de sécurité conçu pour les apps créées avec des outils de codage IA. Il analyse votre app déployée à la recherche de risques de sécurité courants et vous donne des correctifs en langage clair.

Question 2

Est-ce sûr et légal de scanner mon site ?

Accepted Answer

Oui. AppSafe n’exécute le scan complet que sur les sites dont vous avez prouvé la propriété, via un enregistrement DNS, une balise meta ou l’upload d’un fichier — vous testez donc toujours votre propre app, avec autorisation. Cette vérification de propriété est une mesure de confiance volontaire : c’est ce qui rend AppSafe sûr à utiliser et empêche le scanner d’être un jour pointé vers le site de quelqu’un d’autre. Le scan rapide de la page d’accueil se limite à des vérifications passives d’informations publiques (en-têtes, SSL, erreurs de configuration courantes) que n’importe quel navigateur voit en chargeant votre page.

Question 3

Pourquoi dois-je vérifier la propriété du site ?

Accepted Answer

Pour prévenir les abus et garantir que vous ne scannez que des sites qui vous appartiennent ou que vous êtes autorisé à tester. Le scan complet va plus loin que le navigateur d’un visiteur : il recherche des clés divulguées dans votre JavaScript et envoie un petit nombre de requêtes en lecture seule à vos API Supabase ou Firebase, en utilisant uniquement la clé publique que votre site fournit déjà, pour voir si des données peuvent être lues sans connexion. Il n’écrit, ne modifie ni ne supprime jamais rien, et ne stocke que des noms de tables et de champs, jamais vos données. La vérification ne prend que quelques minutes via DNS, balise meta ou upload de fichier.

Question 4

Le scan affectera-t-il mon app ou ses performances ?

Accepted Answer

Non. Un scan est en lecture seule : nous récupérons vos pages, vos en-têtes et vos fichiers publics à peu près comme le ferait le navigateur d’un visiteur normal. Sur les sites vérifiés, nous envoyons aussi quelques petites requêtes en lecture seule à l’API de votre base de données (une ligne à la fois, avec des délais d’expiration et un plafond strict de requêtes). Nous ne soumettons jamais de formulaires, ne créons ni ne modifions de données, ne tentons pas de connexion et n’exécutons pas d’exploits, et le trafic est bien trop léger pour affecter les performances de votre app.

Question 5

Que vérifie le scanner ?

Accepted Answer

Le scan complet vérifie les en-têtes de sécurité, SSL/TLS, les clés API exposées dans votre JavaScript, les fichiers de configuration exposés (.env, .git), les source maps, les cookies, la sécurité DNS et e-mail, les erreurs de configuration courantes, et si votre base de données, votre stockage ou vos fonctions Supabase ou Firebase peuvent être lus sans connexion. Le scan rapide de la page d’accueil couvre les en-têtes, SSL/TLS et les erreurs de configuration courantes.

Question 6

Que sont les « prompts de correction IA » ?

Accepted Answer

Comme vous construisez avec l’IA, nous vous donnons des prompts à coller dans votre outil de codage IA préféré pour corriger chaque problème. Par exemple : « Ajoutez un en-tête Content-Security-Policy à mon app Next.js. »

Question 7

Puis-je utiliser AppSafe depuis Cursor ou Claude Code ?

Accepted Answer

Oui. Avec Pro, Agency et Team, vous pouvez connecter le serveur MCP d’AppSafe à Claude Code, Cursor ou un autre client MCP grâce à une clé API. Votre agent peut lancer un scan d’un site vérifié, lire les problèmes et les prompts de correction, et revérifier un problème après votre déploiement. Il existe aussi une REST API ainsi que des exports de rapports Markdown et SARIF.

Question 8

AppSafe continue-t-il à surveiller mon site après le premier scan ?

Accepted Answer

Avec Pro, Agency et Team, oui. Les scans planifiés (quotidiens ou hebdomadaires, ou toutes les heures avec Team) et les re-scans au déploiement sont comparés au scan précédent. Vous pouvez recevoir des alertes par e-mail, Slack, Discord ou webhook signé lorsqu’un nouveau problème apparaît, qu’un en-tête de sécurité est supprimé, que votre certificat TLS est sur le point d’expirer ou que de nouveaux scripts tiers ou sous-domaines apparaissent. Chaque problème ne déclenche qu’une alerte. Un scan ne peut pas prouver que votre app est sécurisée, mais il vous montre ce qui a changé.

Question 9

Le plan gratuit est-il vraiment gratuit ?

Accepted Answer

Oui. Pendant la bêta, vous pouvez lancer des scans gratuitement et voir vos principaux problèmes. Passez à un plan supérieur quand vous voulez débloquer chaque problème et chaque prompt de correction IA.

Question 10

Qu’advient-il des données de mes scans ?

Accepted Answer

Les résultats des scans sont enregistrés dans votre tableau de bord privé pour que vous puissiez suivre votre score dans le temps et re-scanner après vos corrections. Les rapports restent privés, sauf si vous créez vous-même un lien de partage. Si vous supprimez votre compte, vos sites, scans et problèmes sont définitivement supprimés avec lui.

Trouvez vos clés API exposées avant qu’un autre ne les trouve

Comment ça marche

Inscrivez-vous

Vérifiez la propriété

Scannez

Chaque problème vient avec un prompt de correction

Clé secrète Stripe trouvée dans le JavaScript côté client

Ce que nous analysons

En-têtes de sécurité

Clés API exposées

Base de données et BaaS

Analyse SSL/TLS

Erreurs de configuration

API et surface d’attaque

Sécurité du frontend

Prompts de correction IA

Scannez, corrigez et revérifiez depuis votre outil de codage IA

Sachez quand quelque chose change

Nouveaux problèmes et corrections

En-têtes et certificats

Scripts et sous-domaines

Des alertes là où vous travaillez

Des tarifs simples

Bêta gratuite

Pro

Agency

Team

Questions fréquentes

Scannez avant de livrer.