Décrire une application en français, la voir apparaître dans le navigateur, la corriger d’une phrase : les outils de vibe coding permettent à un fondateur sans développeur de produire lui-même un premier logiciel. Lovable, Bolt, Replit, v0, Claude Code, Cursor ou Mistral Vibe ne s’adressent pourtant ni aux mêmes usages ni aux mêmes profils. Ce dossier compare les deux familles d’outils et leurs prix relevés en novembre 2026, ce qu’ils permettent de construire et les risques de sécurité qui restent à la charge de l’entreprise.
Le vibe coding, de la formule de Karpathy à un marché de plusieurs milliards
Le terme a été lancé en février 2025 par Andrej Karpathy, cofondateur d’OpenAI et ancien directeur de l’IA chez Tesla, pour décrire une façon de programmer où l’on s’en remet à l’IA jusqu’à « oublier que le code existe ». L’utilisateur formule ce qu’il veut en langage courant, l’outil écrit le code, l’exécute et le corrige ; le résultat se juge à l’écran plutôt que ligne par ligne. Neuf mois plus tard, le dictionnaire britannique Collins en faisait son mot de l’année 2025.
Les startups ont suivi très vite. En mars 2025, Jared Friedman, associé de l’accélérateur américain Y Combinator, indiquait qu’un quart des jeunes pousses de sa promotion de l’hiver 2025 avaient une base de code générée à 95 % par l’IA, tout en précisant que ces fondateurs étaient tous « très techniques ». Les éditeurs ont changé d’échelle : la suédoise Lovable revendiquait plus de 500 millions de dollars de revenus annuels récurrents en juin 2026 et plus de 60 millions de projets créés sur sa plateforme, selon Maddyness, qui détaillait le 18 août 2026 sa levée de 400 millions de dollars pour une valorisation de 13,3 milliards.
En juin 2026, SpaceX a annoncé le rachat d’Anysphere, l’éditeur de Cursor, pour 60 milliards de dollars. L’article consacré en avril 2026 à l’essor de Cursor auprès des startups décrivait un marché encore jeune ; il s’est depuis nettement segmenté.
Deux familles d’outils de vibe coding, deux niveaux d’autonomie
Les générateurs d’applications, pensés pour les non-développeurs
Lovable, Bolt.new, Replit et v0 (Vercel) fonctionnent dans le navigateur. L’utilisateur décrit l’application, l’outil produit l’interface, peut brancher une base de données et un système de comptes, puis publie le tout à une adresse web. Le code reste accessible, mais rien n’oblige à le lire. C’est le chemin le plus court vers un prototype qu’un client peut tester.
Les agents de code, plus puissants et plus exigeants
Claude Code (Anthropic), Cursor, Mistral Vibe (Mistral AI), GitHub Copilot, OpenAI Codex ou Google Antigravity travaillent sur un dépôt de code, depuis un terminal ou un éditeur. Ils lisent l’ensemble du projet, modifient de nombreux fichiers, lancent les tests et soumettent leurs changements. Ils supposent un minimum de culture technique : savoir ce qu’est un dépôt Git, lire un message d’erreur, choisir où le logiciel sera hébergé. La différence entre un assistant qui répond et un agent qui agit est détaillée dans l’article agent IA ou assistant IA : les vraies différences.
| Outil | Pour qui | Points forts | Limites | Prix public |
|---|---|---|---|---|
| Lovable | Fondateur non technique, prototype ou premier produit web | Base de données et hébergement intégrés, synchronisation Git dès l’offre gratuite | Édition et téléchargement du code, nom de domaine réservés aux offres payantes ; centre de sécurité dans l’offre Business | Gratuit (5 crédits par jour, 30 par mois au plus) ; Pro à 25 $ par mois ; Business à 50 $ |
| Bolt.new | Fondateur non technique, sites et applications web | Hébergement et bases de données inclus, choix du fournisseur de base en Pro | Quota en jetons consommé à chaque échange ; marque Bolt affichée sur les sites en gratuit | Gratuit (1 million de jetons par mois) ; Pro à 25 $ par mois |
| Replit | Fondateur qui veut tout gérer au même endroit | Agent, base de données, hébergement et collaboration réunis ; retour arrière de la base jusqu’à 28 jours en Pro | Usage facturé au-delà des crédits inclus | Core à 20 $ par mois (18 $ en annuel) ; Pro à 100 $ |
| v0 (Vercel) | Interfaces et sites web, équipes produit | Mode design, synchronisation GitHub, déploiement sur Vercel | Gratuit limité à 7 messages par jour ; crédits supplémentaires payants | Gratuit ; Plus à 30 $ par utilisateur et par mois |
| Claude Code (Anthropic) | Fondateur prêt à utiliser un terminal, développeur indépendant | Agent qui travaille sur tout le dépôt, en ligne de commande ou dans l’éditeur | Ni hébergement ni base de données fournis ; déploiement à organiser | Inclus dans Claude Pro à 20 $ par mois (17 $ en annuel) ; Max à partir de 100 $ |
| Cursor | Profil technique ou fondateur accompagné | Éditeur de code complet ; agents dans le cloud et automatisations à partir de Premium | Offre Plus limitée aux modèles Grok ; modèles tiers facturés au tarif de leur API | Plus à 8 $ par mois ; Premium à 30 $ ; Ultra à 200 $ |
| Mistral Vibe (Mistral AI) | Entreprise attentive à l’origine européenne de ses outils | Éditeur français ; agent en ligne de commande, dans l’éditeur et sur le Web ; déploiement privé en offre Enterprise | Sessions de code limitées en gratuit | Pro à 14,99 $ par mois ; Team à 24,99 $ par utilisateur |
Ce qu’un fondateur seul peut construire, et où les difficultés commencent
Les générateurs donnent leurs meilleurs résultats sur des périmètres bornés : une page de vente avec formulaire, un prototype pour tester une offre auprès d’une vingtaine de prospects, un outil interne (suivi de clients, tableau de bord, planning), un premier produit avec inscription et paiement. Le gain tient moins à la vitesse d’écriture qu’à la possibilité de confronter une idée au marché avant d’avoir engagé un budget de développement.
Les ennuis arrivent quand le produit grossit. Chaque nouvelle demande modifie un code que personne n’a relu, une correction en casse une autre, et l’outil peut tourner en rond sur un bug en consommant des crédits à chaque tentative. En juillet 2025, Jason Lemkin, fondateur de la communauté SaaStr, racontait avoir dépensé 607,70 dollars en quelques jours au-delà de son abonnement Replit à 25 dollars, puis avoir vu l’agent effacer sa base de données de production malgré une consigne de gel du code, selon le récit publié par The Register. La restauration a finalement fonctionné, mais l’épisode résume deux risques : la facture et l’accès d’un agent aux vraies données.
Restent les sujets que l’IA ne règle pas seule : les intégrations avec des systèmes tiers exigeants (banque, santé, logiciels métier), la tenue de charge quand les utilisateurs affluent, la dépendance à un fournisseur. Avant de choisir, il faut vérifier que l’outil permet de récupérer le code : un projet synchronisé avec GitHub peut être repris par un développeur et hébergé ailleurs, alors que la base de données et les comptes utilisateurs gérés par l’outil d’origine demandent une vraie migration, à préparer avant l’arrivée des clients.
Sécurité et données personnelles : la responsabilité reste à l’entreprise
Un code qui fonctionne n’est pas pour autant un code sûr. Dans sa mise à jour du 24 mars 2026, l’éditeur de solutions de sécurité Veracode, qui a évalué plus de 150 modèles d’IA sur 80 exercices de programmation, constate que seules 55 % des tâches aboutissent à un code sécurisé, un taux « quasiment identique » à celui d’il y a deux ans. Les failles testées n’ont rien d’exotique : injection SQL, failles XSS, injection dans les journaux, algorithmes de chiffrement non sûrs (étude Veracode du printemps 2026).
Les générateurs d’applications ajoutent un risque propre, puisqu’ils configurent eux-mêmes la base de données. En mars 2025, le chercheur Matt Palmer a découvert que des projets créés avec Lovable laissaient n’importe quel internaute lire, voire modifier, leurs tables, faute de règles d’accès suffisantes : noms, adresses e-mail, clés d’API de services tiers, informations de transactions et d’abonnements. La faille, enregistrée sous la référence CVE-2025-48757 avec une note de gravité de 9,3 sur 10, est contestée par l’éditeur, au motif que chaque client est responsable de la protection des données de son application.
Ce raisonnement vaut pour tous les outils. Dès que l’application collecte des données personnelles, la startup est responsable de traitement au sens du RGPD : elle doit les sécuriser, encadrer par contrat ses sous-traitants (hébergeur, fournisseur de base de données, éditeur de l’outil s’il héberge l’application) et informer les utilisateurs. Le guide RGPD du développeur publié par la CNIL détaille ces obligations fiche par fiche, de la gestion du code source aux tests. Les autres risques d’une jeune entreprise sont recensés dans le dossier sur la cybersécurité d’une startup avant sa levée de fonds.
Outils de vibe coding : la méthode pour passer du prototype au produit
Sept règles limitent la casse, du premier message à l’ouverture au public :
- Rédiger une page de spécification avant le premier message : qui utilise l’application, les trois parcours qui doivent fonctionner, les données collectées, ce qui reste hors périmètre. L’outil s’en sert comme d’un cahier des charges.
- Choisir l’outil selon la destination : un générateur pour un prototype à montrer, un agent de code si le produit doit durer et qu’un développeur le reprendra. Vérifier où les données seront hébergées.
- Relier un dépôt Git dès le premier jour et avancer par petites demandes, chacune vérifiée avant la suivante : en cas de régression, on revient à la version précédente.
- Séparer l’environnement de test de celui de production, et ne jamais laisser un agent modifier la base réelle sans validation humaine.
- Activer et tester les règles d’accès à la base de données, retirer les clés d’API du code exécuté dans le navigateur, lancer les analyses de sécurité proposées par l’outil.
- Faire relire le code par un développeur indépendant ou une agence avant d’ouvrir l’application à des clients ou d’y faire passer des paiements.
- Fixer un budget mensuel de crédits avec une alerte de dépassement, et noter ce que coûte chaque fonctionnalité.
Questions fréquentes
Faut-il savoir coder pour utiliser un outil de vibe coding ?
Pas avec un générateur comme Lovable, Bolt ou Replit : l’application se décrit en français et se teste à l’écran. Quelques notions aident toutefois à diagnostiquer un problème et à formuler des demandes précises : base de données, authentification, variables d’environnement, déploiement. Les agents de code comme Claude Code ou Cursor demandent davantage, puisqu’ils s’utilisent dans un terminal ou un éditeur et travaillent sur un dépôt Git.
Combien coûte une application développée en vibe coding ?
Les premières offres payantes des outils cités vont de 8 à 30 dollars hors taxes par mois (tarifs relevés en novembre 2026), mais la facture dépend surtout de la consommation de crédits ou de jetons, qui grimpe quand l’outil bute sur un bug. S’ajoutent l’hébergement au-delà des quotas inclus, le nom de domaine, les services branchés (paiement, envoi d’e-mails) et, avant l’ouverture au public, la relecture par un développeur.
Un outil de vibe coding peut-il remplacer un CTO ?
Le temps d’un prototype, il peut en tenir lieu ; pour un produit qui stocke des données clients, non. Chez Y Combinator, les startups dont 95 % du code était généré par l’IA au début de 2025 étaient dirigées par des fondateurs « très techniques », capables de juger ce que produisait la machine. Sans ce regard, failles et dette technique s’accumulent sans bruit, puis ressortent lors de l’audit d’un investisseur ou du premier incident.
À retenir
Les outils de vibe coding permettent à un fondateur seul de tester une offre avec un vrai logiciel avant de recruter. Les générateurs (Lovable, Bolt, Replit, v0) vont le plus vite ; les agents (Claude Code, Cursor, Mistral Vibe) vont plus loin, pour qui maîtrise les bases. Dans les deux cas, la sécurité, les données personnelles et la facture de crédits restent à la charge de l’entreprise, et une relecture humaine s’impose avant d’ouvrir l’application aux clients.
