Aller au contenuLockpick
FonctionnementTarifsDocumentation

Lire

  • BlogRéponses claires aux questions de sécurité courantes
  • GuidesCorrections pas à pas pour les configurations courantes
  • Contrôles de sécuritéChaque contrôle que nous effectuons, expliqué

Apprendre

  • Apprendre avec PickLeçons de deux minutes sur la manière dont les sites sont attaqués
  • Lockpick pour ClaudeVérifiez des sites depuis Claude et d'autres assistants
  • GlossaireLes mots que nous utilisons, en termes simples

Entreprise

  • Journal des modificationsCe qui a changé, du plus récent au plus ancien
  • StatutIndique si les scans fonctionnent en ce moment
  • Sécurité et confianceComment nous vérifions et ce que nous ne faisons jamais
Se connecterVérifier

Vous l’avez créé.Voyez ce qui reste exposé.

Antivirus pour les applications, sites web, skills et dépôts codés en vibe coding.

Essayez

Sites web, dépôts GitHub, skills et serveurs MCP. Gratuit, sans compte.

Vous voulez le tableau complet ? Inscrivez-vous pour un scan Pulse gratuit.

Ce scan lit les informations publiques du site et du domaine. Nous conservons les résultats et les preuves expurgées. Utilisation de vos données

57 87101234567890123456789 01234567890123456789012345678957 871 nouvelles vulnérabilités publiées cette année. Une estimation en direct à partir des données de Zero Day Clock.

  1. Nous examinons votre page d’accueil comme le ferait un attaquant.De l’extérieur, comme n’importe qui le pourrait. Les scans de site n’ont jamais besoin de votre code. Les vérifications de dépôts et de skills lisent du code public et ne l’exécutent jamais.
  2. Nous expliquons nos observations avec des mots simples.Chaque constat indique ce que nous avons vu et ce que quelqu'un pourrait en faire. Sans jargon.
  3. Nous rédigeons les consignes pour corriger le problème.Fonctionne avec Lovable, Bolt, Replit, Cursor et Claude Code.

L’horloge s’est accélérée.

Votre site public est le premier endroit que l’on regarde.

  • 57 87101234567890123456789 01234567890123456789012345678957 871vulnérabilités publiées dans le monde en 2026, estimation en direct
  • 2,7×0123456789,0123456789×sur un an, au dernier trimestre, 30 000 contre 11 000
  • 135012345678901234567890123456789exploitées le jour de leur divulgation, premier semestre 2026
  • N° 1N° 0123456789les applications web et les extensions ont été la catégorie la plus exploitée en 2026, 211 sur 679

Sources

Un constat, du début à la fin.

Exemple de ce qu'un scan Pulse détecte. Cette erreur est fréquente.

atlas.example
AAtlasStudio

Bonjour, Studio

1 248 clients37 factures dues

Code source/_next/static/chunks/app.js

  1. (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
  2. 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
  3. var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
  4. let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
  5. function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
  6. },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
  7. function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
  8. },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
  9. var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
  10. function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
  11. let i={SUPABASE_URL:"https://db.atlas.example",
  12. SUPABASE_SERVICE_ROLE_KEY:"eyJhbGciOiJI…"},
  13. o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_SERVICE_ROLE_KEY);
  14. function l(){return o.from("customers").select("*")}
  15. function d(e){return o.from("customers").delete().neq("id",e)}

customersToute personne qui ouvre atlas.example

NomE-mail
Mara Quinnmara@northwind.example
Theo Alberstheo@kestrel.example
Ines Duarteines@fieldnote.example
et 1 245 lignes de plusTout supprimer (1 248)

LockpickExemple

Clé d’administration de la base de données dans le code du site

TrouvéScan Pulse

atlas.example
AAtlasStudio

Bonjour, Studio

1 248 clients37 factures dues

Code source/_next/static/chunks/app.js

  1. (self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[931],{
  2. 1204:function(e,t,n){"use strict";n.r(t),n.d(t,{default:function(){return s}});
  3. var r=n(7437),a=n(2265),i=n(6463);function l(e){return e.replace(/\s+/g," ")}
  4. let o={sm:640,md:768,lg:1024},u=(0,a.createContext)(o);
  5. function s(e){let{title:t,children:n}=e;return(0,r.jsx)("section",{children:n})}
  6. },3310:function(e,t,n){n.d(t,{Z:function(){return c}});var r=n(2265);
  7. function c(e){let[t,n]=(0,r.useState)(!1);return[t,()=>n(e=>!e)]}
  8. },4821:function(e,t,n){"use strict";n.d(t,{db:function(){return o}});
  9. var r=n(2265),a=n(8830);let c=(0,r.createContext)(null);
  10. function u(e){let{children:t}=e;return(0,r.useMemo)(()=>t,[t])}
  11. let i={SUPABASE_URL:"https://db.atlas.example",
  12. Clé retirée
  13. o=(0,a.createClient)(i.SUPABASE_URL,i.SUPABASE_ANON_KEY);
  14. function l(){return o.from("customers").select("*")}
  15. function d(e){return o.from("customers").delete().neq("id",e)}

customersToute personne qui ouvre atlas.example

NomE-mail
Mara Quinnmara@northwind.example
Theo Alberstheo@kestrel.example
Ines Duarteines@fieldnote.example
et 1 245 lignes de plusTout supprimer (1 248)

permission refusée pour la table customersLa clé publique du site ne peut pas lire cette table.

LockpickExemple

Clé d’administration de la base de données dans le code du site

CorrigéVérifié à nouveau

Avant. La clé d’administration de la base de données d’Atlas est dans le code du site, et toute personne qui ouvre le site peut ouvrir la table des clients.

Ce que nous avons vu

Une clé qui ouvre toute la base de données se trouvait dans le code du site.

Détail technique

Trouvé dans 1 des 4 scripts chargés par la page d’accueil, /_next/static/chunks/app.js. Un JWT Supabase qui commence par eyJhbGciOiJI (tronqué ici) porte le rôle service_role, qui contourne la sécurité au niveau des lignes. Lockpick a lu le script comme n’importe quel navigateur et n’a pas utilisé la clé.

Ce que quelqu’un pourrait faire

Lire, modifier ou supprimer chaque fiche client. Sans mot de passe.

Les consignes

Un prompt prêt à coller pour votre agent de codage. Renouvelez la clé, déplacez-la côté serveur, verrouillez la table, puis vérifiez à nouveau.

Gratuit pour commencer. Deep quand vous voulez plus.

Gratuit

Aucune carte bancaire requise

  • 5 scans Pulse gratuits par mois sur un site
  • Votre page d'accueil et ses enregistrements DNS publics, de messagerie et de certificat
  • Au plus 10 requêtes, généralement moins de 15 secondes
  • Les vérifications automatiques hebdomadaires utilisent un scan chacune
  • Pas de connexion, pas d'envoi de formulaires, pas de données clients

Deep

$19 par mois ou $190 par an

  • 100 scans Pulse et 20 scans Deep par mois sur 3 sites
  • Jusqu'à 30 pages, leurs scripts et l'API qui les alimente
  • Vérifications automatiques hebdomadaires
  • Prouvez d'abord que vous possédez le site
VérifierVoir Deep

Master Key arrive bientôt.

Pages HTTPS publiques uniquement. Ne scannez que les sites que vous êtes autorisé à tester.

Questions avant de lancer un scan.

Est-ce sûr de scanner mon site ?

Oui. Un scan Pulse lit uniquement ce que n'importe quel navigateur ou serveur de messagerie peut déjà voir. Il couvre la page d'accueil et les fichiers qu'elle charge, les paramètres d'expéditeur de messagerie (SPF et DMARC), les en-têtes de sécurité et TLS, ainsi que les enregistrements DNS publics, de certificat et de sous-domaines, en au plus 10 requêtes. Il ne se connecte jamais et n'envoie jamais de formulaire.

Avez-vous besoin de mon code ?

Pas pour votre site. Les scans de site vérifient votre site en ligne de l’extérieur, comme le ferait un attaquant, donc ils n’ont jamais besoin de votre code. Les vérifications de dépôts et de skills lisent seulement le code public d’un lien GitHub que vous collez, et ne l’exécutent jamais.

Avec quels créateurs de sites fonctionne-t-il ?

Tout site web public en HTTPS, quel que soit l'outil qui l'a créé. Chaque constat est accompagné d'un prompt de correction pour votre assistant de codage, qu'il s'agisse de Lovable, Bolt, Replit, Cursor, Claude Code ou un autre.

Que signifie « autorisé à tester » ?

Cela signifie que le site vous appartient, ou que son propriétaire vous a autorisé à le vérifier. Vous le confirmez avant un scan Pulse, et un scan Deep vous demande aussi de prouver que vous possédez le site.

Que reçoivent les membres d'Early AI-dopters ?

Les membres reçoivent 10 analyses Pulse par mois sur 2 sites et un mois gratuit de Deep. Les membres VIP reçoivent 20 sur 3 sites et 2 mois gratuits de Deep. Réclamez-le depuis la tuile Lockpick dans EA Apps.

Puis-je annuler à tout moment ?

Oui. Annulez Deep depuis la Facturation quand vous le souhaitez. La formule Free n'a rien à annuler.

Regardez de près avant les autres.

Vérifier

Ne crochetez que les serrures qui vous appartiennent.

Lockpick
TarifsMéthodologieDocsBlogGuidesContrôles de sécuritéApprendre avec PickSécurité et confianceLockpick pour ClaudeJournal des modificationsStatutInformations pour les assistants IA

Lockpick est un scanner de sécurité pour les applications créées en vibe coding. Il contrôle ce que votre site en ligne expose et ce que ferait un dépôt GitHub ou un skill IA avant que vous l’installiez, puis fournit un prompt de correction pour Lovable, Bolt, Replit, Cursor ou Claude Code.

Lockpick analyse uniquement les pages publiques que vous êtes autorisé à tester, et du code GitHub public qu’il n’exécute jamais.

© 2026 LockpickConditionsConfidentialitéContactSe connecter