Sécurité

Analyses de sécurité

Chaque site dispose de trois analyses. Vous les trouverez dans l’éditeur sous Paramètres > Sécurité.

Analyse des paquets

Votre site repose sur des paquets open source, comme le framework sur lequel il fonctionne. L’analyse des paquets vérifie chaque paquet utilisé par votre site dans la base de données npm des problèmes de sécurité connus. Elle s’exécute chaque jour pour les sites actifs et publiés, après les créations de l’IA et à chaque publication, afin de refléter ce qui est réellement en ligne.

Analyse du code

L’analyse du code est automatique et gratuite. Elle s’exécute à chaque publication et chaque fois que vous la lancez. Elle recherche les erreurs qui exposent le plus souvent les données d’un site :

• Clés secrètes dans du code accessible aux navigateurs
• Valeurs secrètes dans des variables d’environnement publiques (dont le nom commence par NEXT_PUBLIC_), lisibles par toute personne qui ouvre votre site
• Clés de service utilisées dans le code du navigateur, qui contournent les règles d’accès de votre base de données
• Tables de base de données sans sécurité au niveau des lignes, que n’importe qui pourrait lire ou modifier
• Routes de tâches planifiées que tout le monde peut appeler
• Rendu HTML non sécurisé, qui peut permettre à quelqu’un d’exécuter ses propres scripts sur vos pages
• Des paramètres d’image plus permissifs que nécessaire

Analyse de sécurité par IA

L’analyse de sécurité par l’IA se lance dans le chat à votre demande et utilise des crédits comme tout message. Une IA lit tout le code de votre site et recherche les problèmes propres à son fonctionnement :

• Qui peut lire ou modifier quoi
• Pages et actions nécessitant de vérifier que la personne est connectée
• Paiements
• Injection : les données saisies par un visiteur sont interprétées comme du code ou une requête de base de données
• Données visibles par des personnes qui ne devraient pas y avoir accès

Chaque problème détecté est accompagné d’une explication claire et d’une correction proposée. Corriger avec l’IA applique la correction.

Gravité

Chaque problème détecté est classé par gravité : critique, élevée, modérée ou faible. Commencez par les problèmes critiques et de gravité élevée.

Les limites des analyses

Aucun outil d’analyse ne détecte tous les risques. Un rapport sans anomalie signifie qu’aucun de ces contrôles n’a trouvé de problème, pas que votre site n’en a aucun. Testez tout ce qui gère les connexions, les paiements ou les données de vos utilisateurs avant de vous y fier.

Mises à jour de sécurité automatiques

Lorsqu’un paquet utilisé par votre site présente une vulnérabilité critique et que le correctif reste dans la même version majeure, WebTwizz met votre site à jour pour vous :

• Seules les versions des paquets changent. Le code propre à votre site n’est jamais modifié.
• Nous reconstruisons la version publiée de votre site. Les brouillons inachevés ne sont jamais publiés.
• Si la reconstruction échoue, votre version actuelle reste en ligne.
• Un point de restauration est enregistré dans votre historique des versions.
• Si votre projet est synchronisé avec GitHub, la mise à jour y est envoyée sous forme de commit.
• Vous recevez un e-mail qui explique ce qui a changé.

Les mises à jour automatiques sont activées par défaut pour les nouveaux sites. Elles sont désactivées pour les sites créés avant leur mise en place. Vous pouvez les activer ou les désactiver pour chaque site dans Paramètres > Sécurité. Si une faille est activement exploitée, nous pouvons tout de même appliquer la mise à jour et mettre un site hors ligne jusqu’à sa correction. Consultez nos Conditions d’utilisation.

Certains problèmes nécessitent plus qu’une simple mise à jour, comme le passage à une nouvelle version majeure ou une modification de votre code. Nous ne les appliquons jamais sans votre accord. Ils vous sont signalés avec une correction en un clic.

Alertes par e-mail

• Problèmes critiques : lorsqu’un nouveau problème critique touche un site publié, son propriétaire reçoit un e-mail. Cette option est activée par défaut. Vous pouvez la désactiver dans Paramètres > Sécurité.
• Problèmes de gravité élevée : regroupés dans un récapitulatif hebdomadaire.

Vérifications avant publication

À chaque publication, les paquets et le code sont analysés. Les résultats s’affichent dans la fenêtre de publication.

Si vous préférez ne jamais publier lorsqu’un problème critique reste à résoudre, vous pouvez bloquer la publication jusqu’à sa correction. Cette option est désactivée par défaut. Vous pouvez l’activer dans Paramètres > Sécurité.

Ce que WebTwizz prend en charge

Vous n’avez rien à faire pour ces éléments. Nous assurons leur sécurité et les maintenons à jour :

• La base de départ et les modèles : la base utilisée pour créer chaque nouveau site et tous les modèles de la galerie
• Environnements d’aperçu : l’aperçu de chaque site s’exécute dans sa propre machine virtuelle isolée
• Hébergement : hébergement WebTwizz pour les sites sur des adresses webtwizz.app et sur leurs propres domaines
• Secrets : les clés API et les autres valeurs secrètes sont stockées sous forme chiffrée. Vous les saisissez uniquement sur WebTwizz, jamais dans une conversation avec un assistant IA
• Sites privés et protégés par mot de passe : l’accès est vérifié avant le chargement du site

Délais de réponse

Lorsqu’un paquet fourni par WebTwizz présente un problème de sécurité connu, nous le corrigeons dans les délais suivants :

• Critique : 72 heures
• Gravité élevée : 14 jours

Signalement d’une vulnérabilité

Si vous découvrez un problème de sécurité, écrivez à security@webtwizz.com. Nous vous répondrons et vous tiendrons au courant pendant sa résolution.

Les éléments à inclure

• Ce que vous avez trouvé et où : l’adresse, la page ou la fonctionnalité
• Les étapes pour reproduire le problème
• Ce que quelqu’un pourrait en faire
• Comment vous joindre si nous avons des questions

Périmètre

La plateforme WebTwizz, y compris webtwizz.com, l’éditeur et le tableau de bord, ainsi que les sites hébergés sur WebTwizz, aux adresses webtwizz.app ou sur leurs propres domaines.

Protection juridique des chercheurs

Si vous effectuez vos recherches de bonne foi et respectez les consignes de cette page, nous n’engagerons aucune action en justice contre vous et considérerons vos recherches comme autorisées. Merci de :

• Ne consultez, ne modifiez et ne supprimez pas les données d’autres personnes. Si vous y accédez par accident, arrêtez-vous, n’en gardez aucune copie et prévenez-nous
• Testez uniquement les comptes et les sites qui vous appartiennent ou que vous avez l’autorisation de tester
• Ne lancez pas de tests qui ralentissent ou mettent hors service WebTwizz ou les sites qui y sont hébergés
• Laissez-nous un délai raisonnable pour corriger un problème avant de le rendre public

Avis de sécurité

Les mises à jour de sécurité concernant des problèmes qui ont affecté, ou auraient pu affecter, des sites sur WebTwizz, et les mesures que nous avons prises.

Octobre 2026 : mise à jour de sécurité de Next.js

• De quoi il s’agissait : des correctifs pour trois vulnérabilités dans Next.js, deux critiques et une de gravité élevée
• Sites WebTwizz concernés : oui, les sites utilisant des versions antérieures de Next.js
• Ce que nous avons fait : nous avons fait passer la base de départ et tous les modèles de la galerie à Next.js 16.4.2, qui inclut les correctifs, et mis à jour les environnements d’aperçu. Les sites publiés concernés sont en cours de mise à jour.

Nous contacter

Pour signaler un problème de sécurité, écrivez à security@webtwizz.com. Pour toute autre question :