Guide · Sécurité no-code
Sécurité des automatisations no-code : les 4 angles morts (Make, n8n, Airtable)
Le no-code a démocratisé l'automatisation. Il a aussi créé une surface d'attaque que les scanners classiques ne regardent pas : les accès et les connexions entre vos outils, là où fuient réellement les données.
Un scanner de vulnérabilités classique s'arrête à la « vitrine » : le site public. Mais une PME moderne, c'est un site plus un Make ou un n8n qui déplace des données, plus une base Airtable ou Supabase, plus des clés d'API qui relient le tout. C'est entre ces briques que se produisent la plupart des fuites. Voici les quatre angles morts les plus fréquents, et comment les vérifier.
1. Webhooks Make / n8n non signés
Le risque
Un scénario Make ou n8n déclenché par une URL de webhook : si cette URL n'est pas signée ni secrète, quiconque la trouve (dans un formulaire, un code front, un historique) peut la rejouer mille fois — créer des enregistrements, envoyer des e-mails, déclencher des paiements, en votre nom.
Comment vérifierCherchez vos URLs de webhook dans le code de vos pages et vos formulaires. Si l'appel part directement du navigateur sans jeton secret côté serveur, l'URL est publique. Ajoutez une signature (HMAC) ou un secret partagé, et ne l'exposez jamais côté client.
2. Liens de partage Airtable oubliés
Le risque
Une vue Airtable partagée « juste pour dépanner un collègue » reste publique et indexable. Deux ans plus tard, elle est toujours en ligne — et parfois référencée par Google — avec vos clients, vos prix ou vos données RH dedans.
Comment vérifierPassez en revue les liens de partage de chaque base (Share → Shared views). Supprimez ceux qui ne servent plus, et cherchez sur Google site:airtable.com "votre entreprise" pour repérer les vues déjà indexées.
3. Clés d'API exposées dans le navigateur
Le risque
Tout ce que le navigateur télécharge est public — la clé d'API aussi. Une clé Supabase, Airtable, Stripe ou d'un service tiers laissée dans le JavaScript front peut être extraite en quelques secondes et utilisée pour lire ou écrire vos données.
Comment vérifierOuvrez les outils de développement (F12 → Sources) et cherchez vos clés dans les fichiers JS. Une clé « publique » (ex. Supabase anon) n'est acceptable que si le cloisonnement des données est en place (voir point 4). Toute clé « secrète » côté front est une fuite : déplacez-la sur un serveur.
4. Bases sans cloisonnement (RLS)
Le risque
Sur une base Supabase ou similaire sans Row Level Security, une clé publique côté client suffit : il « suffit de retirer un filtre » dans une requête pour lire la table entière, y compris les lignes des autres utilisateurs.
Comment vérifierVérifiez que la RLS est activée sur chaque table sensible, et que des politiques limitent bien chaque utilisateur à ses propres lignes. Testez avec une requête sans filtre depuis un compte lambda : si elle renvoie plus que vos données, la table est ouverte.
Comment vérifier tout ça d'un coup, sans compétence technique
Ces contrôles demandent du temps et un œil averti. C'est exactement ce que REMPARO automatise : une adresse suffit, l'analyse est 100 % passive (rien n'est exploité, aucun accès à donner), et vous obtenez une note de A à F avec les points à corriger.
Voyez votre surface exposée. Gratuitement.
Une adresse, une note, la liste des points à reprendre — en moins d'une minute.
Analyser mon site →Questions fréquentes
REMPARO peut-il pirater ou casser mon site pendant l'analyse ?
Non. L'analyse est strictement passive : REMPARO lit uniquement ce qui est déjà public (en-têtes, certificat, fichiers exposés, configuration e-mail…). Rien n'est exploité, aucun test destructif, aucun accès demandé.
Faut-il installer quelque chose ou donner un accès ?
Non. Vous entrez une adresse, c'est tout. REMPARO n'installe rien et ne demande aucun identifiant ni clé.
En quoi est-ce différent d'un scanner de vulnérabilités classique ?
Les scanners classiques s'arrêtent au site public. REMPARO regarde en plus les automatisations et les accès entre vos outils no-code (Make, n8n, Airtable, Supabase) — là où fuient réellement les données.
Combien ça coûte ?
Le scan initial est gratuit. L'offre Essentiel est à 49 €/mois (constats détaillés, correctifs, ré-analyses illimitées), la Premium à 149 €/mois (jusqu'à 5 domaines, automatisations, revue humaine). Essai gratuit de 48 heures.
Est-ce conforme au RGPD ?
Oui. REMPARO est un éditeur français, l'analyse est passive et les données sont supprimées après douze mois.