Votre site généré par IAest-il prêt à êtremis en ligne ?
Claude Code, Lovable, Codex et Bolt livrent des sites qui marchent. Ils oublient les mentions légales, laissent une clé Stripe dans le bundle, ne répondent pas 404, et depuis le 2 août 2026 ils exposent leur auteur aux obligations de transparence de l'AI Act. Ce scan vérifie 54 points de l'extérieur, dit honnêtement ce qu'il ne peut pas voir, et n'invente rien.
Ce que le scan vérifie, et ce qu'il avoue ne pas voir.
Chaque contrôle est classé selon ce qu'un scan d'URL peut réellement mesurer. Automatique : mesuré en lecture seule. Partiel : un indice, pas une preuve. Manuel : invisible de l'extérieur, ou interdit sans votre accord. Ces derniers deviennent un questionnaire.
Légal et conformité, AI Act compris
La seule famille où un manque peut coûter une amende : consentement, mentions légales, confidentialité, CGV, et les obligations de transparence IA du règlement UE 2024/1689.
- auto
- 7
- partiel
- 3
- manuel
- 3
Sécurité avant mise en ligne
Clés exposées, fichiers sensibles accessibles, HTTPS, en-têtes de sécurité, erreurs bavardes. Onze contrôles sur vingt et un sont invisibles de l'extérieur et deviennent un questionnaire.
- auto
- 7
- partiel
- 3
- manuel
- 11
Complétude et crédibilité
Ce que Claude Code oublie quand on ne le lui demande pas : page 404, fil d'Ariane, FAQ, images de partage, textes alternatifs, maillage interne.
- auto
- 12
- partiel
- 8
- manuel
- 0
Signature visuelle « vibe-codé »
Les 28 tics de mise en page que trois créateurs ont recensés séparément : dégradés violets, orbes flous, trois cartes de fonctionnalités, tout arrondi. Ce n'est pas de la conformité, c'est un indice de crédibilité.
- auto
- 24
- partiel
- 4
- manuel
- 0
Signature textuelle IA
Les dix signes qu'un texte français sort d'une IA sans relecture : tiret cadratin, « nous » de communiqué, phrases toutes de la même longueur, adverbes qui ne portent rien.
- auto
- 4
- partiel
- 5
- manuel
- 1
Ce que le scan ne fait pas, par choix.
Un scanner qui teste votre login à la rafale ou lit vos tables avec votre clé publique commet un accès non autorisé, même avec de bonnes intentions. Skovr s'en tient à ce qu'un navigateur ferait.
Lecture seule, adresses publiques
Une trentaine de requêtes GET identifiées « Skovr-Scanner », comme une visite de navigateur : page d'accueil, pages légales reliées, feuilles de style, scripts servis, trois pages internes, une adresse inexistante. Rien d'autre.
Aucun test actif, jamais
Pas de tentative de connexion, pas d'envoi de formulaire, pas de rafale de requêtes, pas de lecture de vos tables même avec une clé publique visible. Ces vérifications passent par un questionnaire, ou par un audit avec votre accord écrit.
Une clé trouvée n'est jamais conservée
Si un format de clé secrète apparaît dans le code que votre site envoie à tout le monde, le rapport dit son type (Stripe, Supabase service_role, OpenAI...) et rien d'autre. Les sondes de fichiers sensibles lisent le code de réponse, pas le contenu.
Ce n'est pas un avis juridique
Le scan décrit ce qui est observable de l'extérieur à un instant donné. « En place » veut dire présent et repéré, pas conforme. La qualification au titre de l'AI Act (fournisseur ou déployeur, exceptions de l'article 50) reste une analyse humaine.
L'AI Act s'applique déjà.
Depuis le 2 août 2026, un site qui expose un chatbot doit prévenir qu'on parle à une machine, et un contenu généré doit pouvoir être reconnu comme tel. Sanction prévue par le règlement UE 2024/1689 : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le montant le plus faible s'appliquant aux PME. Le risque le plus fréquent reste pourtant plus banal : la requalification en pratique commerciale trompeuse.
| Date | Obligation | État |
|---|---|---|
| 2 février 2025 | Pratiques interdites (art. 5) et littératie IA (art. 4) | En vigueur, rarement traité |
| 2 août 2026 | Transparence des chatbots et des contenus générés (art. 50) | En vigueur |
| 2 décembre 2026 | Fin du délai de grâce sur le marquage machine-lisible des images générées | Dans trois mois |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III | À venir |
Les 15 questions qu'aucun scan ne peut poser à votre place.
Le Rapport Check-up complet, 109 €, reprend les 92 points de votre site avec, pour chaque point manquant, la consigne à coller dans Claude Code, Lovable ou Codex. Les pistes AI Act y sont, sans certification : ce sont les clés, pas un avis juridique. PDF envoyé automatiquement après paiement.
Pour faire les corrections avec nous, ou à votre place : écrivez-nous, devis sous quatre heures ouvrées.
- A6Base de données protégée (RLS)
- A12Note de littératie IA (art. 4)
- A13Qualification fournisseur ou déployeur
- B3Limite de débit sur le login et les formulaires
- B4Règles d'accès actives sur la base (RLS)
- B5Mots de passe hachés
- B6Droits vérifiés côté serveur
- B9Entrées validées côté serveur
- B10Taille maximale des fichiers envoyés
- B11Type de fichier vérifié à l'envoi
- B15Message d'erreur unique au login
- B16Webhooks signés
- B18Email confirmé à l'inscription
- B19Sauvegarde automatique de la base
- E9L'anglais traduit mot à mot
Ce qu'on nous demande.
Le scan est-il un avis juridique ?
Non. C'est un outil technique qui repère ce qui est observable de l'extérieur : une page reliée, un en-tête présent, un format de clé dans un script. Il ne dit jamais « conforme », il dit « en place », « manquant », « à confirmer » ou « non mesuré ». Pour une qualification au titre de l'AI Act ou du RGPD, il faut un humain.
Que fait exactement le scan sur mon site ?
Une trentaine de requêtes en lecture seule, toutes identifiées Skovr-Scanner, vers des adresses publiques : la page d'accueil, les pages légales qu'elle relie, ses feuilles de style et ses scripts, trois pages internes, une adresse inexistante et six chemins sensibles dont seul le code de réponse est lu. Aucune connexion, aucun formulaire, aucune rafale.
Pourquoi trois chiffres au lieu d'un score ?
Parce qu'un fond blanc pur et une politique de confidentialité absente ne pèsent pas pareil. La conformité vérifiable ne compte que les points légaux et sécurité mesurés. La complétude couvre ce qu'un site généré oublie. L'indice vibe-codé mesure la signature visuelle et textuelle, à titre informatif. Les mélanger produirait un chiffre qui ne veut rien dire.
Et si une clé secrète est détectée dans mon code ?
Le rapport indique le type de clé et rien d'autre : Skovr ne l'enregistre pas et ne la renvoie pas. Révoquez-la immédiatement chez le fournisseur, puis déplacez l'appel côté serveur. Une clé publique (Stripe pk_, Supabase anon) est normale ; une clé service_role ou sk_live_ ne l'est jamais.
Que faire des points « à confirmer » et « non mesuré » ?
Ce sont les points qu'aucun scan d'URL honnête ne peut trancher : la protection de votre base, le hachage des mots de passe, la relecture humaine de vos textes, la qualification fournisseur ou déployeur. Le rapport complet les liste en checklist avec la marche à suivre pour chacun. Et si vous préférez qu'on les traite avec vous, écrivez-nous.
Mon site n'utilise pas d'IA. Ce scan me concerne-t-il ?
Oui. Les contrôles AI Act ne s'activent que si un chatbot ou une mention d'IA est détecté ; le reste s'applique à tout site mis en ligne : mentions légales, consentement, clés exposées, fichiers sensibles, HTTPS, en-têtes de sécurité, page 404, image de partage.