Contexte et méthodologie
Lovable, startup suédoise lancée en 2023, propose de transformer des descriptions en langage naturel en applications web via IA. Pour évaluer la protection des données, nous avons exploité les archives Common Crawl afin d’identifier 159 041 projets Lovable créés entre décembre 2025 et septembre 2026. L’analyse s’est concentrée sur l’intégration Supabase, utilisée par 34 545 projets, car son schéma d’accès est directement observable. Nous avons d’abord relevé les réponses renvoyées au chargement initial, puis effectué des requêtes en lecture seule supplémentaires avec la même clé API.
Résultats quantitatifs
Sur les 159 041 projets, 24 664 sites ont renvoyé des enregistrements Supabase dès le chargement, sans aucune authentification. Parmi ces sites, 10 560 tables contenant des adresses e‑mail ont été détectées dans 7 403 projets, soit environ 30 % des sites étudiés. Cette proportion ne représente pas un taux de fuite confirmé, car les e‑mail peuvent être publics ou factices, et notre méthode ne capture pas les enregistrements dépourvus d’e‑mail.
Exemples de fuites majeures
Les investigations ont mis en lumière plusieurs cas critiques : un forum allemand a exposé plus de 80 000 profils (nom, e‑mail, date de naissance, genre) ainsi que plus de 200 000 messages de chat ; des organisateurs d’événements et restaurants ont laissé accessibles des dizaines de milliers de ventes de billets et de repas, incluant e‑mail, téléphone, adresse postale, informations de paiement et codes de billets ; une société de gestion immobilière a rendu publiques des résumés d’e‑mails internes contenant des données sur locataires et propriétaires ; un prestataire de services a divulgué plus de 1 000 documents d’identité (numéros de passeport, dates d’expiration, nationalités) ; enfin, 280 000 e‑mails de newsletters ont été récupérables sans restriction.
Implications et recommandations
Ces constats démontrent que les modèles d’intégration de bases de données de Lovable favorisent des configurations d’accès identiques, facilitant la reproduction d’erreurs à grande échelle. L’absence de contrôle d’accès automatisé expose les utilisateurs non‑techniques à des risques de phishing, de fraude ou de vol d’identité. Nous recommandons une revue manuelle des permissions avant toute mise en production, la mise en place de contrôles d’accès basés sur le principe du moindre privilège, et la réalisation d’audits de sécurité réguliers. Les vérifications automatisées ne remplacent pas une expertise spécialisée.
