Vous avez construit une application avec Lovable, ou vous hésitez à le faire. Elle tourne, l'équipe l'adopte, et une question revient : peut-on y mettre de vraies données clients ?
Notre avis sur Lovable tient en une phrase. Lovable est un très bon outil pour valider une idée et un outil risqué pour exploiter un produit, parce que les décisions qui comptent en production (règles d'accès aux données, région d'hébergement, sortie de la plateforme) se prennent en quelques clics au début du projet, souvent sans qu'on le sache. Voici ce qui tient, ce qui casse, et comment trancher.
En bref
- Lovable est un générateur d'applications web par conversation ; son backend intégré, Lovable Cloud, repose sur Supabase, d'après sa documentation consultée le 30/10/2026.
- La faille CVE-2025-48757 (score CVSS 9,3) visait les règles d'accès des bases générées : 170 projets exposés sur 1 645 analysés en mars 2025.
- La région du backend (Amériques, Europe ou Asie-Pacifique) se choisit à l'activation et ne se change plus ensuite.
- Prix affichés le 30/10/2026 : gratuit, Pro à 25 € par mois, Business à 50 € par mois pour 100 crédits, Enterprise sur devis.
Lovable, c'est quoi exactement ?
Lovable se présente comme « un ingénieur logiciel IA » : vous décrivez l'application dans une conversation, il écrit le code, l'affiche et le publie. La page tarifs le résume ainsi : construire des sites et des applications web « sans connaissance technique ».
Derrière l'écran, trois briques comptent pour la suite. Le code, que vous possédez (la FAQ de Lovable le dit en toutes lettres) et que vous pouvez synchroniser avec GitHub. Le backend, base de données, authentification et stockage, fourni par Lovable Cloud. La publication, sur un sous-domaine lovable.app ou votre propre domaine à partir de l'offre Pro.
C'est cette deuxième brique qui décide si l'application tiendra.
Ce que Lovable fait très bien
Il raccourcit la distance entre une idée et un écran cliquable. Une maquette dans PowerPoint ne prouve rien ; une application que dix collègues utilisent pendant un mois prouve beaucoup. Pour un dirigeant qui veut tester un portail client ou un outil interne avant de signer un budget, c'est un gain réel.
Le modèle de prix est lisible pour un premier essai. Pas de facturation par utilisateur, un solde de crédits, et des exemples chiffrés sur la page tarifs : « rendre le bouton gris » coûte 0,50 crédit, « ajouter l'authentification avec inscription et connexion » 1,20 crédit.
Le code n'est pas prisonnier, enfin. La synchronisation GitHub fonctionne dans les deux sens, et les offres payantes permettent de télécharger le code depuis les réglages du projet. Une équipe peut donc reprendre le projet hors de Lovable. Nous le faisons.
Ce qui casse en production
Les règles d'accès aux données
C'est le point qui a fait parler de Lovable. Les applications générées interrogent la base directement depuis le navigateur, avec une clé publique ; ce qui protège les données, ce sont des règles d'accès posées table par table dans la base (le mécanisme s'appelle Row Level Security). Sans ces règles, la clé publique suffit pour lire, voire modifier, les tables.
Le 21 mars 2025, le chercheur Matt Palmer a analysé 1 645 applications de la vitrine publique de Lovable. Résultat publié dans sa déclaration sur la CVE-2025-48757 : 303 points d'accès vulnérables dans 170 projets, avec des e-mails, des numéros de téléphone, des adresses et des clés d'API lisibles. La fiche officielle de la CVE, publiée le 30 mai 2025, lui donne un score de 9,3 sur 10. Lovable conteste la qualification de faille : selon l'éditeur, chaque client est responsable de la protection des données de son application.
Les deux lectures se défendent. Pour vous, la conclusion est la même : la responsabilité vous revient.
Le scanner ne remplace pas une revue
Lovable a ajouté des contrôles depuis. Sa documentation sécurité, lue le 30/10/2026, décrit un scan rapide lancé à chaque publication (tables sans règles d'accès, dépendances vulnérables) et un scan approfondi lancé à la demande, programmable seulement en Enterprise. La même page prévient que ces outils « ne peuvent pas garantir une sécurité complète » et ne remplacent pas une revue approfondie pour une application qui manipule des données sensibles.
Un scanner voit qu'une règle existe. Il ne sait pas si elle correspond à votre métier : qu'un commercial ne doive voir que ses propres clients, par exemple, aucun outil ne le devine.
La région choisie au premier jour
Lovable Cloud héberge chaque projet dans l'une de trois régions : Amériques, Europe ou Asie-Pacifique. La documentation de Lovable Cloud précise que la région se fixe à l'activation du backend et ne peut plus être changée ensuite. Un prototype lancé un dimanche soir avec la région par défaut peut donc porter vos données clients hors d'Europe pour toute sa vie.
La même documentation indique que la migration vers un projet Supabase externe « n'est pas prise en charge » : il faut exporter la base, la restaurer ailleurs, déplacer les fichiers, puis reconfigurer l'authentification et les secrets. Faisable, à condition de le planifier comme un chantier à part entière.
Le coût qui change de nature
Une application qui sert du trafic consomme aussi des crédits. La page tarifs indique que l'hébergement est couvert par l'allocation incluse pour la plupart des petites applications, et qu'au-delà d'un trafic ou d'un volume « significatif » il est prélevé sur le solde. Le seuil n'est pas chiffré publiquement. Les crédits mensuels non utilisés expirent deux mois après leur émission.
Pour un budget de production, un coût dont le seuil n'est pas publié se surveille chaque mois.
Votre application Lovable mérite un second regard avant d'accueillir de vraies données. Nous auditons gratuitement votre projet Lovable ou Bolt sur trois plans : sécurité (règles d'accès table par table), données (région et sous-traitants), hébergement (coût et sortie possible). Vous recevez l'état des lieux écrit et un devis sous 48 h. → Audit de votre application Lovable / Bolt offert, devis sous 48 h
Lovable pricing : ce que vous payez, et ce que coûte la production
Grille relevée sur la page tarifs de Lovable le 30 octobre 2026, en facturation mensuelle :
| Offre | Prix affiché | Ce qui change pour la production |
|---|---|---|
| Free | 0 € | 5 crédits par jour, publication sur invitation, sous-domaine lovable.app |
| Pro | 25 € par mois (100 crédits) | domaine personnalisé, rôles et permissions, retrait du badge Lovable |
| Business | 50 € par mois (100 crédits) | SSO, espace d'équipe, centre de sécurité |
| Enterprise | sur devis | journaux d'audit, scans approfondis programmés, inférence en Europe |
L'abonnement pèse peu. Le poste principal est le travail autour : poser les bonnes règles d'accès, documenter les traitements de données, mettre en place sauvegardes et supervision.
Chez EpickOne, le tarif journalier se situe entre 600 et 900 EUR. Pour un MVP simple, peu chargé en données sensibles, nous estimons l'industrialisation à deux à trois semaines de travail dans notre article sur le passage d'un prototype IA à la production. L'audit qui précède est offert : c'est lui qui transforme « ça a l'air de marcher » en devis par lot.
Ce que nous avons trouvé sur un outil interne généré avec Lovable
Nous avons publié en juillet le cas d'un éditeur de logiciel de la région toulousaine : un outil interne de suivi client, généré avec Lovable, qu'une dizaine de collaborateurs utilisaient déjà. L'audit a relevé deux points bloquants, une clé d'accès à la base lisible côté navigateur et des données clients hébergées sur un service américain sans base légale de transfert.
L'action a tenu en un peu moins de trois semaines : secrets déplacés côté serveur, base rapatriée en Europe, contrôle d'accès par rôle, sauvegardes. Résultat, plus de 80 % du prototype conservé. Dans ce projet, la logique métier était bonne ; c'est le socle qui manquait.
L'avis de Laurent, Lead Développeur, spécialiste back-end et IA chez EpickOne : « Sur un projet Lovable, la première chose que j'ouvre n'est pas le code de l'interface. C'est la liste des tables et, pour chacune, la règle qui dit qui peut lire quoi. Je me connecte ensuite avec un compte de test sans droits et j'essaie de lire la table des clients avec la clé publique de l'application. Si la réponse n'est pas vide, le reste de l'audit attendra. »
Lovable avis : quand le garder, quand en sortir
Gardez Lovable si l'application reste un outil interne à faible enjeu, que ses données ne sont pas personnelles ou que leur région d'hébergement est déjà l'Europe, et que vous acceptez un coût d'exploitation qui suit le trafic.
Sortez-en, ou faites-la reprendre, dès qu'un de ces signaux apparaît :
- des données de clients ou de salariés entrent dans la base ;
- l'application devient un service vendu, avec un contrat et des engagements de disponibilité ;
- plusieurs rôles doivent voir des données différentes ;
- votre DSI ou un client demande où sont hébergées les données, et la réponse est « Amériques ».
Entre les deux, il existe une voie médiane : garder Lovable pour l'interface et faire tourner le backend sur une infrastructure que vous maîtrisez, ce que la synchronisation GitHub rend possible. C'est la logique que nous décrivons pour ajouter de l'IA à une application déjà en service.
Et si la question de fond est de savoir où l'IA a sa place dans votre entreprise, au-delà d'un outil, le guide pour intégrer l'IA quand on dirige une PME pose le cadre. La grille complète de contrôle, applicable aussi à Bolt ou Cursor, est dans notre article sur l'audit d'une application générée par IA.
Deux questions fréquentes sur Lovable
Lovable, c'est quoi en une phrase ?
Un outil qui génère une application web complète à partir d'une conversation, avec son hébergement et sa base de données, facturé en crédits plutôt qu'au nombre d'utilisateurs.
Combien coûte Lovable par mois ?
De 0 à 50 € par mois en libre-service au 30/10/2026, l'offre Enterprise étant sur devis. Le prix d'un crédit dépend de l'offre, et l'hébergement d'une application à fort trafic se paie en crédits en plus de l'allocation incluse.
Notre position
Lovable mérite sa réputation pour la première semaine d'un projet. Le risque vient plus tard, quand une application née pour une démonstration reçoit des données réelles sans que personne n'ait relu ses règles d'accès ni vérifié sa région. Ces deux contrôles passent avant tout le reste. Le code, lui, vous appartient et se récupère par GitHub ; la base Lovable Cloud se migre à la main. Nos développeurs qui reprennent ces applications, à Toulouse comme à Paris, chiffrent cette sortie après l'audit.
Votre application Lovable va accueillir de vrais utilisateurs ? Envoyez-nous l'accès en lecture au dépôt : nous vérifions les règles d'accès, la région des données et le coût d'hébergement, puis nous vous remettons un état des lieux et un devis sous 48 h. → Demander l'audit offert de mon application Lovable / Bolt