Une société de sécurité de Hambourg, Crissy Field, a passé au crible 159 041 projets créés avec Lovable, la plateforme suédoise qui fabrique une application web à partir d’une phrase écrite en langage courant. Les résultats, publiés début novembre 2026 avec le quotidien économique allemand Handelsblatt, ont de quoi refroidir : numéros de passeport, données de paiement et plus de 200 000 messages de discussion lisibles depuis un simple navigateur, sans identifiant ni mot de passe.
Lovable répond que le problème touche tout le secteur. L’argument a un fond technique réel. Il laisse pourtant entière la responsabilité de chaque organisme qui a mis en ligne l’une de ces applications et y a collecté des données personnelles.
Les données retrouvées en accès libre
Les chercheurs ont extrait les projets de l’archive publique Common Crawl, pour des applications construites entre décembre 2025 et septembre 2026. Ils n’ont rien forcé. Ils ont regardé ce que chaque base de données acceptait de renvoyer à un inconnu dépourvu de compte. Sur 7 403 sites, la réponse comportait des adresses électroniques, réparties dans 10 560 tables.
Plusieurs cas sortent du lot :
- un prestataire de services laissait lire plus de 1 000 fiches de passeport, avec la date d’expiration et la nationalité ;
- un forum allemand consacré au mode de vie exposait 80 000 profils complets (nom, prénom, courriel, date de naissance, genre) et plus de 200 000 messages privés ;
- une société de gestion immobilière stockait des résumés de courriels internes, générés par IA, contenant des informations sur des locataires, des propriétaires et des partenaires ;
- d’autres bases renfermaient des factures, des contrats et des informations de paiement.
Selon les articles qui reprennent l’étude, les chiffres varient. Le rapport de Crissy Field reste la source à consulter en priorité.
Une clé publique et des règles d’accès absentes
Les applications Lovable s’appuient sur Supabase, un service de base de données en ligne : chaque projet dispose de sa propre base. Son fonctionnement repose sur une clé dite anonyme, placée volontairement dans le code chargé par le navigateur. Cette clé n’a rien de secret : n’importe qui peut la lire avec les outils de développement de Chrome ou de Firefox.
La protection des données dépend donc entièrement des règles de sécurité au niveau des lignes (Row Level Security, ou RLS), à définir table par table. Elles précisent qui peut lire ou modifier quoi. Quand elles manquent ou restent trop permissives, la clé publique ouvre les tables à tout le monde. Les chercheurs ont récupéré la clé, interrogé des tables portant des noms aussi parlants que « profiles », « messages » ou « payments », et obtenu leur contenu.
Aucune faille inédite, aucun piratage sophistiqué. L’outil génère une application qui fonctionne, et la personne qui l’a commandée en langage naturel ignore souvent qu’une étape de sécurité reste à faire.
« Tout le secteur est concerné » : un argument à prendre au sérieux, sans s’en contenter
Lovable n’a pas tort sur le constat. En mai 2026, la société israélienne RedAccess avait déjà recensé 380 000 ressources accessibles publiquement, construites avec Lovable, Base44, Replit ou Netlify, dont environ 5 000 contenaient des données d’entreprise sensibles, y compris médicales et financières. Le phénomène dépasse un seul éditeur.
L’historique de Lovable sur ces questions invite toutefois à la prudence. Plus tôt dans l’année, un chercheur avait montré qu’un compte gratuit permettait de lire le code, les identifiants de base de données et les historiques de discussion d’autres utilisateurs. La plateforme avait d’abord nié toute violation, avant de reconnaître une erreur de sa part. Elle a aussi contesté le classement d’une vulnérabilité en indiquant que ses clients acceptent la responsabilité de protéger les données de leurs applications.
Le discours de responsabilité partagée bute sur une contradiction. La plateforme promet de créer une application sans compétence technique, puis attend de ses clients qu’ils maîtrisent eux-mêmes les politiques d’accès en base de données. Crissy Field le formule à sa manière : une plateforme facile à utiliser ne dispense pas d’une revue experte des droits d’accès avant de traiter des données confidentielles.
La lecture RGPD : qui répond de quoi
L’organisme qui publie l’application et décide de collecter des passeports, des messages ou des coordonnées est responsable de traitement. Le choix d’un outil grand public ne déplace pas cette responsabilité. Trois obligations du RGPD s’appliquent directement à la situation décrite par les chercheurs.
L’article 25 impose la protection des données dès la conception et par défaut. Une table lisible par n’importe qui tant que personne n’a pensé à la fermer en est l’exact contraire. L’article 32 exige des mesures techniques adaptées au risque, et le contrôle d’accès en fait partie depuis toujours. Le principe de minimisation de l’article 5 pose enfin une question simple : l’application avait-elle besoin de conserver des numéros de passeport ? Le contrat de Lovable répond d’ailleurs à sa façon, puisqu’il interdit au client d’y verser des identifiants délivrés par l’État.
Lovable et Supabase interviennent comme sous-traitant et sous-traitant ultérieur. L’article 28 oblige le responsable de traitement à choisir un sous-traitant présentant des garanties suffisantes et à signer un contrat conforme. Le contrat de sous-traitance de Lovable est conclu avec sa société américaine, Lovable Labs Incorporated, et seules les offres Business et Enterprise en bénéficient. Les transferts hors Union européenne, encadrés par des clauses contractuelles types, doivent être examinés même lorsque la base est hébergée en Europe.
Une donnée personnelle accessible sans authentification, consultée au moins par des chercheurs, constitue une violation de confidentialité. Elle doit figurer au registre interne des violations prévu à l’article 33, même si aucune notification n’est faite. Si les journaux techniques ne permettent pas d’exclure d’autres consultations sur plusieurs mois, l’organisme ne peut pas conclure à l’absence de risque. Pour des numéros de passeport, le risque d’usurpation d’identité justifie en général une notification à la CNIL sous 72 heures et une information des personnes concernées au titre de l’article 34.
Santé, médico-social, collectivités : le risque de l’outil fait maison
Le scénario dangereux pour un établissement de santé, un EHPAD, un service de santé au travail ou une mairie ne passe pas par la direction informatique. Il commence le jour où un cadre crée en un après-midi un formulaire de pré-admission, un planning de visites ou un outil de réservation de salles, et le partage à ses équipes par un lien. L’application échappe alors au registre des traitements, au contrat de sous-traitance, à l’analyse d’impact et au regard du DPO.
Pour les données de santé, la porte est fermée deux fois. Le contrat de Lovable interdit au client d’y verser ce type de données. En France, leur hébergement pour le compte d’un établissement ou d’un professionnel exige