Vibe coding : mon comparatif des outils pour créer une application avec l'IA

Le vibe coding consiste à créer une application en la décrivant en langage courant à une IA, qui écrit le code, la base de données et la mise en ligne à votre place. Vous ne lisez plus le code : vous testez le résultat et vous demandez des corrections, message après message. C'est ce qui permet aujourd'hui à un entrepreneur sans compétence technique de produire un prototype, un outil interne ou un premier produit en quelques heures.

Voici mon comparatif des outils de vibe coding, avec trois questions que les classements laissent souvent de côté : à qui appartient le code généré, que fait l'éditeur de vos projets, et ce qu'il faut vérifier avant d'ouvrir l'application à de vrais utilisateurs.

Vibe coding, no-code ou assistant de code : quelle différence ?

• Le vibe coding génère une application complète à partir d'une description. Vous obtenez du vrai code, que vous pouvez en général récupérer.
• Le no-code vous fait assembler l'application avec des blocs visuels. L'IA y est de plus en plus présente, mais l'application reste le plus souvent liée à la plateforme.
• L'assistant de code par IA, comme Cursor ou GitHub Copilot, s'adresse aux développeurs : il écrit du code dans leur éditeur, mais suppose de savoir le lire.

Les outils de vibe coding comparés

Lovable, dont l'établissement principal est à Stockholm, se présente comme un ingénieur logiciel fondé sur l'IA qui permet à tout le monde de créer des sites et des applications web. La base de données et l'hébergement reposent sur des services tiers comme Supabase.

Bolt.new, de l'éditeur américain StackBlitz, crée des applications web et aussi des applications mobiles, avec sa propre offre d'hébergement ou Supabase au choix.

Base44, racheté par Wix en 2025, génère des applications complètes, interface et serveur compris, et reste un produit distinct au sein du groupe.

v0, de Vercel, crée des applications web déployées sur l'hébergement de Vercel, avec synchronisation GitHub dès l'offre gratuite.

Replit permet de créer des applications web et des applications mobiles natives pour iOS et Android, avec une base de données PostgreSQL gérée.

Google AI Studio, avec son mode Build, crée des applications web et des applications Android natives, en configurant la base de données et l'authentification de Firebase. Il remplace Firebase Studio, fermé aux nouveaux utilisateurs depuis le 22 juin 2026 et dont l'arrêt est prévu le 22 mars 2027.

Emergent crée des applications web et mobiles, que vous êtes libre de télécharger et d'héberger où vous voulez.

Bubble, pionnier du no-code, génère désormais des applications avec l'IA. Mais il fonctionne autrement : l'application ne tourne que sur sa plateforme, et il n'est pas possible de l'exporter en code.

À qui appartient le code, et que fait l'éditeur de vos projets ?

C'est le point à regarder avant de construire votre produit sur l'un de ces outils. La plupart vous laissent la propriété de ce que vous créez, Bubble faisant exception. Mais plusieurs se réservent une licence large sur vos contenus, y compris pour entraîner leurs modèles. Voici ce que disent leurs conditions d'utilisation, consultées le 24 septembre 2026 :

Deux conséquences pratiques. Si votre application contient un savoir-faire ou des données sensibles, préférez un outil et une offre qui excluent l'entraînement, ou désactivez-le. Et si vous comptez faire grandir le produit, vérifiez dès le départ que vous pourrez récupérer le code pour le confier à un développeur.

Combien coûte le vibe coding ?

Tous ces outils ont une offre gratuite, limitée en crédits ou en messages. Les offres payantes s'affichent presque toutes en dollars, y compris depuis la France. Prix relevés sur les sites des éditeurs le 24 septembre 2026, par mois :

• Lovable : gratuit avec 5 crédits par jour dans la limite de 30 par mois ; Pro à 25 $ par mois (ou 250 $ par an), Business à 50 $.
• Bolt.new : gratuit avec 1 million de jetons par mois ; Pro à 25 $ par mois ; Teams à 30 $ par membre.
• Base44 : gratuit avec 25 crédits de messages par mois ; offres de 16 $ à 160 $ par mois, facturées à l'année.
• v0 : gratuit avec 5 $ de crédits par mois ; Plus affiché à 30 $ par utilisateur et par mois hors TVA, au lieu de 90 $.
• Replit : Core à 20 $ par mois (18 $ en annuel), Pro à 100 $ (90 $ en annuel).
• Emergent : gratuit avec 10 crédits par mois ; Standard à 20 $ par mois (17 $ en annuel).
• Google AI Studio : accès gratuit avec un quota limité ; l'abonnement Google AI Pro est à 21,99 € par mois, et l'hébergement est facturé à l'usage.
• Bubble : offre Starter web à 32 $ par mois (29 $ en annuel), 69 $ avec l'application mobile.

Méfiez-vous des crédits : chaque demande de correction en consomme, et une application qui ne marche pas du premier coup peut épuiser une offre mensuelle en quelques jours. Testez d'abord sur l'offre gratuite avec votre vrai projet.

Le vrai risque du vibe coding : la sécurité de l'application

Une application générée en quelques minutes fonctionne souvent du premier coup. Elle n'est pas pour autant sûre, et trois incidents documentés le montrent.

• Lovable, 2025. La base de vulnérabilités américaine NVD a publié le 30 mai 2025 la faille CVE-2025-48757 : une politique de sécurité au niveau des lignes de la base de données (Row-Level Security) insuffisante permettait, sur des sites générés avec Lovable jusqu'au 15 avril 2025, de lire ou d'écrire dans leurs tables sans être authentifié. Lovable conteste la qualification de faille, au motif que chaque client est responsable de la protection des données de son application. Sa documentation actuelle le dit clairement : « Misconfigured RLS rules are a common cause of data leaks » (des règles mal configurées sont une cause fréquente de fuites de données).
• Replit, juillet 2025. Le dirigeant de Replit a reconnu publiquement que l'agent de développement de la plateforme avait supprimé des données d'une base de production, jugeant la situation inacceptable, et annoncé le déploiement d'une séparation automatique entre bases de développement et de production.
• Base44, juillet 2025. La société de sécurité Wiz a révélé une faille qui permettait de créer un compte vérifié sur des applications privées à partir d'un simple identifiant non secret. Elle a été corrigée en moins de 24 heures, et Base44 a indiqué, selon Wiz, n'avoir trouvé aucune trace de client touché.

Le point commun n'a rien d'exotique : c'est le contrôle d'accès, premier risque du classement de référence OWASP Top 10. Dans son édition 2025, l'OWASP indique que 100 % des applications testées présentaient une forme de défaut de contrôle d'accès. Un outil de vibe coding génère ce contrôle, mais personne ne le vérifie si vous ne savez pas le lire.

L'ANSSI et son homologue allemand, le BSI, ont publié ensemble en 2024 des recommandations sur les assistants de programmation par IA. Leur constat vaut pour le vibe coding : ces outils ne remplacent pas des développeurs expérimentés, les failles de sécurité sont fréquentes dans le code qu'ils produisent, et le code généré doit être vérifié. Concrètement, avant d'ouvrir une application à de vrais utilisateurs, faites relire au minimum la gestion des comptes, les droits d'accès à la base de données et le stockage des mots de passe.

Vous publiez l'application : c'est vous le responsable

Dès que votre application collecte des données personnelles (une adresse e-mail suffit), le RGPD s'applique, et c'est vous, pas l'outil qui a écrit le code, qui êtes responsable de traitement. La CNIL a publié un guide pour les équipes de développement dont trois recommandations s'appliquent directement :

• Minimiser : « Si des données spécifiques ne sont pas nécessaires pour une certaine catégorie de personnes, ne les collectez pas. »
• Protéger les mots de passe : « Ne stockez jamais les mots de passe en clair. »
• Protéger la base : « Protégez les bases de données que vous rendez accessibles sur Internet », exactement ce qu'ont manqué les applications touchées par la faille de Lovable.

Enfin, la CNIL rappelle qu'il faut informer les personnes concernées au moment où vous recueillez leurs données. Une application générée sans page d'information sur les données n'est pas prête à être publiée.

Comment choisir son outil de vibe coding

• Prototype ou vrai produit ? Pour tester une idée, n'importe quel outil fera l'affaire sur son offre gratuite. Pour un produit qui accueillera des clients, vérifiez l'export du code, l'hébergement et la base de données avant de choisir.
• Web ou mobile ? Lovable et v0 visent le web ; Replit, Bolt.new, Emergent et Google AI Studio savent aussi produire des applications mobiles.
• Que devient votre projet ? Lisez la ligne du tableau ci-dessus : entraînement des modèles, option de retrait, offre gratuite ou payante.
• Qui relira la sécurité ? Prévoyez au minimum une relecture des droits d'accès à la base de données avant la mise en ligne, par vous-même si vous savez le faire ou par un développeur.
• Quel budget réel ? Estimez le nombre de demandes nécessaires : ce sont les corrections, plus que la première génération, qui consomment les crédits.