ScanVibeScanVibe
API d'IA

Replicate est-il sûr ?

Analyse de sécurité des apps créées avec Replicate. Plateforme pour exécuter des modèles d'IA open source via une API, avec une tarification à l'usage.

Replicate est-il sûr ? La réponse courte

Replicate est une plateforme reconnue pour exécuter des modèles d'IA open source ou personnalisés via une API, et l'appeler depuis votre app ne présente pas de risque en soi. Vous envoyez des entrées, Replicate exécute le modèle sur son infrastructure, et vous payez la puissance de calcul consommée.

C'est justement cette facturation à l'usage qui rend la sécurité importante. Un jeton API Replicate est la clé de votre compte de facturation : quiconque le possède peut exécuter des modèles à vos frais. Et même avec un jeton bien gardé côté serveur, une route API non protégée qui relaie les requêtes vers Replicate permet à des inconnus de générer images ou textes sur votre facture. Pour les apps d'IA développées en vibe coding, les principaux risques sont les jetons divulgués et les endpoints ouverts, puis les données privées envoyées aux modèles ou renvoyées par eux.

Scannez votre app Replicate maintenant

Saisissez votre URL et obtenez un rapport de sécurité complet en 30 secondes. Gratuit, sans inscription.

Scanner mon app Replicate

Les erreurs de configuration Replicate fréquentes dans les apps créées avec l'IA

Le jeton API dans le front-end

Appeler Replicate directement depuis le navigateur revient à livrer le jeton (qui commence souvent par r8_) dans votre JavaScript, via une variable NEXT_PUBLIC_ ou VITE_. N'importe qui peut le copier depuis l'onglet réseau. Appelez Replicate uniquement depuis le code serveur.

Un relais ouvert vers des modèles payants

Une route comme /api/generate qui accepte n'importe quel prompt de n'importe qui, sans authentification, quota ni limitation de débit, transforme votre compte en service gratuit pour les autres. Exigez un utilisateur connecté, appliquez des limites par utilisateur et plafonnez la taille des entrées.

Des webhooks acceptés sans vérification

Si votre app met à jour sa base quand une prédiction se termine, un faux webhook peut marquer des tâches comme terminées ou injecter des URL de résultats arbitraires. Replicate signe ses requêtes de webhook : vérifiez la signature avec votre secret de signature avant de faire confiance au contenu.

Des données sensibles en entrée et en sortie

Photos, documents et prompts des utilisateurs sont envoyés à un tiers, et les fichiers générés sont servis depuis des URL qui ne sont pas liées à la session de vos utilisateurs. Indiquez aux utilisateurs ce que vous envoyez, n'envoyez que le nécessaire et copiez les résultats à conserver dans votre propre stockage à accès contrôlé.

Checklist de sécurité Replicate

Appeler Replicate depuis une route serveur, jamais depuis le navigateur :
// app/api/generate/route.ts — côté serveur uniquement
import Replicate from "replicate";

const replicate = new Replicate({ auth: process.env.REPLICATE_API_TOKEN });

export async function POST(req: Request) {
  // 1. Vérifiez ici la session et le quota de l'utilisateur.
  const { prompt } = await req.json();
  if (typeof prompt !== "string" || prompt.length > 500) {
    return new Response("Prompt invalide", { status: 400 });
  }
  // 2. Ensuite seulement, appelez Replicate avec un modèle choisi côté serveur.
}

Failles de sécurité fréquentes dans les apps Replicate

Clés API exposées

Les outils de code IA intègrent souvent les clés API directement dans le JavaScript côté client. Si vous utilisez Replicate, vérifiez qu'aucune clé secrète ne se trouve dans votre bundle front-end.

En-têtes de sécurité manquants

Des en-têtes comme Content-Security-Policy, Strict-Transport-Security et X-Frame-Options protègent contre les attaques XSS, le clickjacking et les attaques par rétrogradation (downgrade).

Dépendances vulnérables

Les paquets npm obsolètes présentant des CVE connues sont fréquents dans le code généré par IA. Des audits réguliers permettent de les repérer avant les attaquants.

Faiblesses d'authentification

Endpoints d'inscription ouverts, absence de limitation de débit (rate limiting) et jetons d'authentification exposés sont des problèmes fréquents dans les apps développées en vibe coding.

Ce que ScanVibe vérifie

✓Configuration SSL/TLS
✓En-têtes de sécurité
✓Secrets et clés API exposés
✓Bibliothèques vulnérables
✓Fichiers et configurations exposés
✓Mauvaises configurations Supabase
✓Mauvaises configurations Firebase
✓Sécurité des endpoints d'authentification

Questions fréquentes

Replicate est-il sûr à utiliser ?

Replicate est en soi une plateforme reconnue, mais les apps créées avec Replicate présentent souvent des erreurs de configuration de sécurité : clés API exposées, en-têtes de sécurité manquants et dépendances vulnérables. ScanVibe analyse votre app pour détecter ces problèmes.

Quelles failles de sécurité trouve-t-on souvent dans les apps Replicate ?

Les problèmes les plus fréquents que nous détectons dans les apps Replicate sont : des clés API exposées dans le JavaScript côté client, des en-têtes de sécurité manquants (CSP, HSTS), des dépendances obsolètes présentant des vulnérabilités connues et des endpoints d'authentification mal configurés.

Comment vérifier si mon app Replicate est sécurisée ?

Saisissez l'URL de votre app dans le scanner ScanVibe. Nous vérifions les secrets exposés, les en-têtes de sécurité, les bibliothèques vulnérables, les fichiers exposés et les erreurs de configuration propres à chaque plateforme, le tout en 30 secondes environ.

ScanVibe analyse-t-il spécifiquement Replicate ?

Oui. ScanVibe détecte Replicate dans votre stack et exécute des contrôles de sécurité propres à cette plateforme, en plus de notre analyse standard en 8 catégories.

Que se passe-t-il si mon jeton API Replicate fuite ?

Toute personne qui détient le jeton peut exécuter des modèles facturés sur votre compte et utiliser l'API en votre nom. Supprimez le jeton dans les paramètres de votre compte Replicate, créez-en un nouveau stocké uniquement dans des variables d'environnement côté serveur, et vérifiez votre consommation récente pour repérer des prédictions que vous n'avez pas lancées.

Puis-je appeler Replicate directement depuis mon front-end ?

Pas en toute sécurité : cela expose votre jeton API à chaque visiteur. Appelez Replicate depuis une route API ou un backend qui vérifie la session de l'utilisateur et limite le débit des requêtes, puis ne renvoyez que le résultat au navigateur.

Autres API d'IA à vérifier

OpenAI est-il sûr ?

Laboratoire de recherche en IA qui propose les API GPT, DALL-E et Whisper pour le texte, l'image et la voix.

Anthropic est-il sûr ?

Entreprise spécialisée dans la sûreté de l'IA, qui propose l'API Claude pour la génération de texte, l'analyse et l'assistance au code.

Hugging Face est-il sûr ?

Plateforme d'IA avec un hub de modèles, une API d'inférence et des Spaces pour héberger des applications de machine learning.

Ne devinez pas : scannez.

Détectez les failles de sécurité de votre app Replicate avant les attaquants.

Scanner mon app