Site vibe-codé : les 92 points à vérifier avant la mise en ligne
Un site généré par IA marche dès le premier jour. C'est justement le problème : rien ne vous force à vérifier ce qui manque.
§ Pourquoi un site vibe-codé a besoin d'une checklist ?
Claude Code, Lovable, Codex, Bolt et v0 produisent en une soirée ce qui demandait une semaine à une agence. Le site s'affiche, le formulaire envoie, Stripe encaisse. Mais l'outil fait ce qu'on lui demande, et personne ne lui a demandé les mentions légales, la page 404, les en-têtes de sécurité ni l'avertissement qui précède un chatbot. Les créateurs de contenu l'ont compris avant les juristes : depuis août 2026, les listes « 30 signes que ton site est vibe-codé » et « 20 trucs à verrouiller avant de lancer ton SaaS » font des milliers de sauvegardes.
Nous avons pris sept de ces listes, retiré les doublons (trois d'entre elles sont la même liste traduite), ajouté les obligations du règlement européen sur l'intelligence artificielle et le durcissement que nous appliquons à nos propres projets. Résultat : 92 points, cinq familles, et pour chacun une réponse honnête à la question « un scan peut-il le vérifier ? ».
§ Quelles sont les cinq familles de contrôles ?
§ Famille A : que doit afficher un site depuis le 2 août 2026 ?
- ›Un bandeau de consentement avant tout traceur soumis à consentement (Google Analytics, Meta Pixel, Hotjar, Clarity). Une mesure d'audience exemptée, configurée sans données personnelles, n'en a pas besoin.
- ›Des mentions légales qui nomment l'éditeur, l'hébergeur et le directeur de la publication.
- ›Une politique de confidentialité qui dit qui traite, quels droits on a, chez quels sous-traitants les données partent, et combien de temps elles restent.
- ›Des CGV dès qu'il y a une vente, des CGU dès qu'il y a un compte.
- ›Si un chatbot est exposé : l'avertissement qu'on parle à une machine, au plus tard à la première interaction.
- ›Si des contenus sont générés par IA et publiés sans relecture humaine substantielle : une mention, et à terme un marquage machine-lisible des images.
§ Famille B : que peut voir un scan, et que doit-on vous demander ?
Sur les 21 verrous de sécurité de la liste la plus partagée, six se vérifient de l'extérieur : une clé secrète dans le JavaScript servi au navigateur, un fichier .env ou un dossier .git accessible, la redirection http vers https, les cookies de session, les en-têtes de sécurité, une page d'erreur qui affiche sa trace de pile. Neuf sont invisibles : mots de passe hachés, droits vérifiés côté serveur, webhooks signés, sauvegardes. Et deux ne se vérifient qu'en attaquant le site.
§ Familles C, D et E : ce qui fait qu'un visiteur devine l'outil
La famille C est la plus facile à corriger : demandez à votre outil une page 404 avec un lien de retour, un fil d'Ariane, une FAQ de cinq questions, une image de partage, des textes alternatifs et un outil de mesure d'audience. La famille D est ce que les créateurs appellent « la tête d'un site vibe-codé » : dégradé violet vers noir, orbes flous en fond, trois cartes de fonctionnalités, trois formules de prix, icônes Lucide, tout arrondi. La famille E, c'est le texte : le tiret cadratin, le « nous » qui ne bouge pas, les phrases de la même longueur.
§ Pourquoi trois chiffres plutôt qu'un score ?
Un fond blanc pur et une politique de confidentialité absente ne peuvent pas peser pareil. Le Check-up Skovr rend donc trois chiffres séparés : une conformité vérifiable (familles A et B, sur les seuls points mesurés), une complétude (famille C) et un indice vibe-codé (D et E), informatif. Un point qui n'a pas pu être mesuré sort du calcul au lieu de compter pour ou contre, et le mot « conforme » n'apparaît nulle part : « en place », « manquant », « à confirmer » ou « non mesuré ».
Questions fréquentes
Oui. La différence, c'est qu'un développeur qui a déjà mis dix sites en ligne les fait par réflexe. Un outil génératif ne fait que ce qu'on lui demande, et un premier site n'a pas encore de réflexes.
Les points AI Act ne s'activent que si un chatbot ou un contenu généré est exposé. Le reste de la famille A (consentement, mentions légales, confidentialité, CGV) s'applique à tout site français ou visant des utilisateurs européens.
Non, et il ne devrait jamais le dire. Il peut dire qu'une page existe, qu'un en-tête est présent, qu'aucun format de clé secrète n'apparaît dans les scripts. La qualification juridique, elle, demande un humain.
Découvrez votre score SEO + GEO en 30 secondes
Cet article a été utile ? Voyez maintenant ce que vaut votre site sur les onze critères évalués par Skovr.
AI Act et site web : ce qu'un site généré par IA doit afficher depuis le 2 août 2026
Le règlement européen sur l'IA n'est pas réservé aux éditeurs de modèles. Un site qui expose un chatbot ou publie des contenus générés a des obligations depuis le 2 août 2026. Les voici, avec leurs exceptions.
Clé API dans le bundle : les six fuites de sécurité des sites générés par IA
Un outil génératif met la clé là où le code compile. Souvent, c'est côté client. Voici les six fuites qu'un scan repère depuis l'extérieur, et ce qu'il faut demander à votre outil pour les fermer.
30 signes que votre site est vibe-codé, et 10 signes que votre texte sort d'une IA
Trois créateurs ont publié la même liste sans se concerter. C'est le signe qu'elle décrit quelque chose de vrai. Voici les 28 signaux visuels uniques et les 10 signaux de texte, et comment un scan les repère dans le CSS et le HTML.