ScanYourSite

Votre app Lovable est-elle prête pour de vrais utilisateurs ?

Une app Lovable, c'est React plus Supabase, et la plupart de ses problèmes se logent entre les deux : ce qui finit dans le bundle du navigateur, et ce que la base de données laisse lire à n'importe qui. Collez l'URL Lovable ou celle de votre domaine personnalisé et voyez ce qu'il faut corriger avant de partager le lien.

Gratuit, sans inscription. L'analyse de base n'envoie que les requêtes qu'un navigateur ordinaire enverrait.

Voir un rapport complet d'exemple

Ce que nous vérifions sur une app Lovable

Vérifiez vous-même en dix minutes

Pas besoin de nous pour trouver le plus grave. Voici comment vérifier une app Lovable à la main — et ce que signifie chaque résultat.

  1. Regardez la clé Supabase dans votre code

    Ouvrez le fichier client Supabase généré (en général src/integrations/supabase/client.ts) et cherchez service_role et sb_secret_ dans tout le projet. Seule la clé anon ou publishable a sa place dans l'app.

    service_role
sb_secret_

  2. Décodez la clé que le site en ligne envoie réellement

    Ouvrez votre site en ligne, puis DevTools → Console. Collez la clé que vous voyez dans l'onglet Network (l'en-tête apikey de n'importe quelle requête vers supabase.co) et décodez-la. "role": "anon" ne pose pas de problème ; "service_role" signifie qu'il faut la renouveler tout de suite.

    JSON.parse(atob("<the key>".split(".")[1])).role

  3. Lancez le Security Advisor de Supabase

    Tableau de bord Supabase → Advisors → Security Advisor. Toute table indiquée avec Row Level Security désactivé peut être lue par n'importe qui avec la clé anon.

  4. Vérifiez ce qu'affiche un aperçu de lien

    Ajoutez view-source: devant votre URL. Si le <title> est encore celui du modèle et qu'il n'y a pas de meta description, les moteurs de recherche et les messageries voient la même chose. Modifiez index.html.

    view-source:https://your-app.lovable.app

Collez le correctif directement dans Lovable

Chaque rapport se termine par un prompt écrit pour un outil IA : ce qui ne va pas, dans quel fichier, et comment vérifier que le correctif a marché. Collez-le dans le chat de Lovable.

Corrige ces problèmes sur myapp.lovable.app. Localise chacun avant de modifier quoi que ce soit.

1. Une clé Supabase service_role se trouve dans assets/index-8a1d.js.
   Déplace les requêtes qui en ont besoin dans une Supabase Edge Function, renouvelle la clé dans le tableau de bord Supabase et ne garde que la clé anon dans l'app.

2. La page n'a pas de meta description après le rendu.
   Ajoute une description et des balises Open Graph dans index.html.

Une fois terminé, revérifie : https://scanyoursite.app/fr?check=myapp.lovable.app

Chaque modification dans Lovable est un déploiement

Un seul prompt peut réécrire la moitié de l'app. Avec Pro, nous repérons chaque nouvelle version et la vérifions en quelques minutes — le site répond-il, une clé est-elle revenue dans le bundle — et n'écrivons que lorsqu'un nouveau problème apparaît.

Voir les offres

Questions

Ça marche sur un sous-domaine lovable.app ?

Oui, et sur un domaine personnalisé. Les vérifications avancées, comme celle des tables, exigent la preuve que le domaine vous appartient — ce qui n'est possible que sur un domaine que vous contrôlez.

La vérification des tables modifie-t-elle mes données ?

Non. Elle envoie une requête HEAD par table avec votre clé publique anon pour compter les lignes lisibles. Elle ne lit jamais le contenu des lignes et n'écrit jamais rien.

La clé anon dans mon bundle est-elle un problème ?

Non, elle est conçue pour être publique. Le danger, c'est la clé service_role ou secrète, ou des tables sans Row Level Security — c'est ce que nous cherchons.

Pour les vibe coders

Collez votre URL. Recevez la liste en une minute environ.

Chaque constat explique ce qu'il signifie pour vous et comment le corriger — ou vous donne un prompt que votre outil de code IA peut appliquer.

Gratuit, sans inscription. L'analyse de base n'envoie que les requêtes qu'un navigateur ordinaire enverrait.