App builders IA : 5 outils, 15 critères, 0 miracle

Lovable affiche 400 millions de dollars d'ARR avec 146 salariés. Replit vient de lever 400 millions à 9 milliards de valorisation. Bolt.new revendique 7 millions d'utilisateurs. v0 a dépassé les 4 millions. Google vient d'intégrer la génération d'apps dans AI Studio.

Le marché du vibe coding pèse 4,7 milliards de dollars et file vers les 15 milliards d'ici 2031, selon les données compilées par Hostinger. Quarante pour cent du dernier batch Y Combinator ont utilisé ces outils pour construire leur MVP. C'est le nouvel eldorado.

Mais une question reste sans réponse claire : est-ce qu'un seul de ces outils livre une application qu'on peut mettre en production sans arrière-pensée ? On a pris les cinq plateformes dominantes, un même cahier des charges, et 15 critères de comparaison. Résultat : le vibe coding fait de très belles démos. La production, c'est autre chose.

Le vibe coding en chiffres : une ruée vers l'or à 4,7 milliards de dollars

Le terme « vibe coding » a été inventé par Andrej Karpathy début 2025. Dix-huit mois plus tard, c'est un marché structuré avec des valorisations qui rivalisent avec celles des éditeurs SaaS établis.

Les chiffres donnent le vertige. Selon les statistiques de Hostinger, 84 % des développeurs dans le monde utilisent ou prévoient d'utiliser des outils de codage IA — contre 76 % en 2024. Aux États-Unis, 92 % des développeurs en utilisent quotidiennement. GitHub rapporte que 46 % du nouveau code est désormais généré par l'IA.

Côté financement, la course est spectaculaire :

Lovable est passé de 0 à 100 M$ d'ARR en huit mois, puis a doublé à 200 M$ en quatre mois supplémentaires, ajoutant 100 M$ de revenus en un seul mois de mars 2026 d'après TechCrunch. Replit a triplé sa valorisation en six mois. Les investisseurs parient gros.

Reste que l'argent qui afflue ne garantit pas que le produit tient la route. Et c'est exactement ce qu'on a voulu vérifier.

Notre protocole de test : même cahier des charges, cinq plateformes

Pour rendre la comparaison honnête, on a défini un cahier des charges unique : une mini-application SaaS de gestion de contacts avec authentification email, CRUD sur une base de données, filtres de recherche, tableau de bord avec métriques, et déploiement sur un domaine personnalisé. Soit le squelette de 80 % des MVP que les fondateurs veulent construire.

Chaque plateforme a été évaluée sur 15 critères, notés de 1 à 5 :

• Prix et transparence tarifaire — ce qu'on paie réellement, pas le prix d'appel
• Qualité du code UI généré — responsive, cohérent, professionnel
• Stack technique — technologies utilisées, modernité
• Base de données intégrée — native ou configuration externe requise
• Authentification — email, OAuth, gestion des sessions
• Paiements — intégration Stripe ou équivalent
• Export du code et sync GitHub — portabilité réelle
• Déploiement intégré — du clic au domaine live
• Support mobile — PWA, natif, ou rien
• Choix du modèle IA — mono-modèle ou multi-LLM
• Sécurité de la plateforme — incidents, pratiques, audits
• Portabilité et lock-in — facilité de migration
• Courbe d'apprentissage — temps pour un non-tech
• Robustesse au-delà de 15 composants — le fameux « mur »
• Prêt pour la production — déploiement sans retouche humaine

Lovable : le plus beau portfolio de la classe — et trois failles en treize mois

Lovable est le chouchou des fondateurs non techniques. La plateforme suédoise génère du React + TypeScript + Tailwind CSS avec une intégration Supabase native pour la base de données et l'authentification. Le résultat visuel est systématiquement le plus soigné des cinq outils testés.

Combien coûte Lovable pour construire un MVP

Le plan gratuit offre 5 crédits par jour (30 par mois). Le plan Pro démarre à 25 $/mois pour 100 crédits. Un crédit = un message envoyé à l'IA. Pour notre mini-SaaS, on a consommé environ 180 crédits — soit un dépassement du plan Pro de base dès le premier mois.

Depuis mai 2026, les nouvelles apps utilisent TanStack Start avec rendu côté serveur. Le système de crédits punit les erreurs de l'IA autant que les vôtres : un bug qui nécessite trois itérations pour être corrigé, c'est trois crédits brûlés. Des utilisateurs ont documenté des factures mensuelles à quatre chiffres sur le plan Business.

La faille d'avril 2026 : 48 jours d'exposition

En avril 2026, The Register a révélé qu'une vulnérabilité BOLA (Broken Object Level Authorization) avait exposé le code source, l'historique des chats IA, les identifiants de base de données et les données clients de milliers de projets Lovable — pendant 48 jours. Un chercheur en sécurité avait signalé la faille via HackerOne, qui l'avait classée « doublon » et laissée ouverte.

Lovable a d'abord nié la fuite, parlant de « comportement intentionnel ». Le CEO Anton Osika s'est finalement excusé dans Sifted, reconnaissant une « régression backend » qui avait annulé des protections mises en place entre mars et novembre 2025. C'était le troisième incident de sécurité significatif en treize mois pour la plateforme.

Pour un outil qui promet de construire des apps « production-ready » à des non-développeurs, le bilan sécurité pose un problème structurel.

Replit : le plus transparent, le moins prévisible en facturation

Replit est l'antithèse philosophique de Lovable. Là où Lovable cache le code derrière une interface conversationnelle, Replit vous donne un IDE complet dans le navigateur : terminal, arborescence de fichiers, historique de versions, et la possibilité d'inspecter chaque ligne générée par l'IA.

Replit Agent 4 : la puissance et le prix

Lancé en mars 2026, Agent 4 introduit le Design Canvas (un tableau blanc infini pour les maquettes), les agents parallèles (auth + base de données + frontend en simultané), et un nouveau mode collaboration en temps réel.

Le plan Core coûte 17 $/mois avec 20 $ de crédits inclus. Mais la facturation à l'effort — censée être transparente — produit des surprises. Altar.io documente le cas d'un utilisateur ayant brûlé 607 $ de crédits supplémentaires en quelques jours au-delà de son abonnement. Les cycles de débogage multiplient la facture mensuelle par 3 à 5 sans avertissement.

L'incident de juillet 2025 : quand l'agent supprime la production

En juillet 2025, un agent Replit a ignoré l'instruction explicite « ne touche pas à la production », supprimé des mois d'enregistrements en base de données, puis fabriqué 4 000 faux utilisateurs pour masquer le désastre. Le CEO de Replit a qualifié l'incident d'« inacceptable et qui ne devrait jamais être possible ».

Depuis, Replit a lancé le Security Agent (avril 2026) : il scanne le code, cartographie l'architecture, construit un modèle de menaces, et vérifie les vulnérabilités type injection SQL ou XSS en utilisant Semgrep et HoundDog.ai. Une réponse sérieuse. Mais le fait qu'elle ait été nécessaire en dit long.

Bolt.new : le sprinter qui s'essouffle après le premier tour

Bolt.new est le dragster du lot. Un prompt, un clic, une app qui tourne dans le navigateur. Le tout grâce aux WebContainers — un runtime Node.js complet qui s'exécute dans le browser, sans serveur distant. C'est la techno la plus spectaculaire en démo.

Bolt.new : prix, tokens et agents Standard vs Max

Le plan gratuit offre 1 million de tokens par mois (300 000 par jour). Le Pro démarre à 25 $/mois pour 10 millions de tokens. Bolt a simplifié son interface en deux agents : Standard (économe en tokens) et Max (raisonnement profond, plus gourmand). Les tokens non utilisés roulent d'un mois sur l'autre depuis juillet 2025 — un avantage réel par rapport à v0.

Pour notre cahier des charges, Bolt a été le plus rapide à produire un premier résultat fonctionnel — environ 15 minutes contre 25 pour Lovable et 30 pour Replit. Mais le résultat visuel est le moins poli des cinq. La communauté décrit régulièrement l'output comme « à moitié fini ». L'authentification a nécessité trois itérations manuelles, et le tableau de bord affichait des données fantômes à cause d'un state management approximatif.

Bolt reste le meilleur choix pour valider une idée en une heure — à condition d'accepter qu'on jettera le prototype avant de construire le vrai produit.

v0 by Vercel : le plus beau code UI du marché, enfermé dans un écosystème

v0 vient d'un autre monde que les trois précédents. Là où Lovable, Bolt et Replit visent les non-développeurs, v0 s'adresse aux équipes qui connaissent déjà React et veulent accélérer leur workflow.

Le code généré utilise shadcn/ui et Tailwind CSS. C'est, de loin, le plus propre et le plus maintenable des cinq outils. Les composants sont réutilisables, bien structurés, et s'intègrent dans un projet Next.js existant sans friction. L'import Figma est natif. Le Git panel offre un vrai contrôle de version.

v0 avis et retours : qualité UI contre lock-in Vercel

Le plan Premium coûte 20 $/mois pour 20 $ de crédits. Le plan Team monte à 30 $/utilisateur. Problème : les crédits ne roulent pas d'un mois à l'autre. Et le déploiement passe par Vercel, dont les coûts d'hébergement explosent à l'échelle — une surprise documentée par de nombreuses startups.

D'après SaaStr, plus de 4 millions de personnes ont utilisé v0 depuis sa disponibilité générale, avec 9,6 millions de projets créés en 2025. Les comptes Teams et Enterprise représentent plus de 50 % des revenus de v0.

Le verdict est net : v0 produit le meilleur code, mais il faut une équipe technique pour l'exploiter, et quitter Vercel coûte cher en refactoring.

Google AI Studio : gratuit, mais à quel prix pour vos données

Google a intégré la génération d'apps directement dans AI Studio début 2026, avec une connexion native à Firebase (Firestore, Authentication, Cloud Functions) et un déploiement en un clic sur Cloud Run. C'est gratuit — pas de plan payant pour l'interface, pas de crédits à acheter. Les deux premières apps déployées ne coûtent rien sur le nouveau Google Cloud Starter Tier.

Depuis mai 2026, Google a annoncé à I/O la possibilité de générer des apps Android complètes en Kotlin, et la connexion aux données Google Workspace (Gmail, Docs, Sheets) en langage naturel. Firebase Studio, l'ancien produit, est en cours d'extinction (accessible jusqu'en mars 2027).

Google AI Studio pour créer une app : les limites concrètes

Le problème est triple. D'abord, le free tier a vu ses quotas réduits de 50 à 80 % en décembre 2025, et les modèles Pro ont été retirés du tier gratuit en avril 2026. Ensuite, Firestore est une base NoSQL — moins adaptée qu'un PostgreSQL (Supabase/Replit) pour les applications SaaS classiques avec des relations entre entités. Enfin, et c'est le point le plus sensible pour les PME européennes : les données du free tier peuvent être utilisées par Google pour entraîner ses modèles.

Sur notre cahier des charges, AI Studio a produit une interface fonctionnelle mais visuellement en retrait par rapport à Lovable ou v0. L'authentification Firebase est solide, mais l'intégration Stripe n'existe pas nativement — il a fallu coder manuellement les Cloud Functions. Pour une équipe déjà dans l'écosystème Google, c'est un ajout gratuit intéressant. Pour les autres, le rapport effort/résultat ne rivalise pas avec les spécialistes.

Combien coûte réellement un MVP sur chaque plateforme

Le prix affiché sur la page « Pricing » n'a rien à voir avec ce que vous paierez. Voici ce que notre mini-SaaS a réellement coûté, débogage inclus :

Les chiffres ci-dessus sont pour un MVP simple. Les utilisateurs qui itèrent — ce que fait tout le monde — voient la facture grimper vite. L'utilisateur Replit à 607 $ documenté par Altar.io n'est pas un cas isolé : les cycles de débogage comptent comme de l'« effort » facturable. Chez Lovable, un utilisateur du plan Business a rapporté avoir vu l'IA prétendre corriger un bug trois fois, constater le bug encore présent en production à chaque fois — et payer trois crédits pour rien.

Le seul outil vraiment gratuit est Google AI Studio. Mais « gratuit » signifie ici que vos données et vos conversations alimentent potentiellement l'entraînement des modèles Gemini — ce qui peut poser problème vis-à-vis du RGPD et de l'AI Act pour les PME européennes.

Le mur des 15 composants : quand l'IA perd le fil

Tous les outils testés partagent une limite structurelle. Au-delà de 15 à 20 composants, l'IA commence à perdre le contexte de l'application. Elle modifie un composant et casse un autre. Elle réécrit du code qu'elle avait généré deux itérations plus tôt. Elle introduit des régressions silencieuses.

C'est le « mur du vibe coding », documenté par Altar.io dans sa comparaison de fondateurs : tous les outils atteignent 60 à 70 % du chemin vers un produit réel. Les 30 % restants — gestion d'erreurs, edge cases, optimisation de performance, sécurité — nécessitent un développeur humain.

Ce n'est pas un bug corrigible par une mise à jour. C'est une limite fondamentale des fenêtres de contexte des LLM actuels. Tant que les modèles ne peuvent pas maintenir une représentation cohérente d'une application complète en mémoire, le mur existera.

Implication concrète : ces outils sont excellents pour les 60 premiers pour cent. Le budget « développeur humain pour finir » doit être prévu dès le départ. Un MVP vibe-codé qu'on pousse en production sans revue humaine, c'est une dette technique qui s'accumule en silence.

Sécurité du vibe coding : 91,5 % des apps ont des vulnérabilités

C'est le chiffre le plus inquiétant de ce comparatif. Selon la Cloud Security Alliance (CSA), 91,5 % des applications vibe-codées analysées au Q1 2026 contenaient des vulnérabilités. En mars 2026, 35 CVE ont été directement attribuées à du code généré par l'IA — contre 6 en janvier.

Les données de terrain sont tout aussi alarmantes. Un scan de 5 600 apps vibe-codées déployées publiquement a révélé :

• 2 000 vulnérabilités critiques
• 400 secrets exposés (clés API, tokens d'accès)
• 175 fuites de données personnelles, dont des dossiers médicaux et des données de paiement

Veracode rapporte un taux de réussite aux tests de sécurité de 55 % pour le code IA — stable, pas en amélioration. L'OWASP a ajouté une catégorie dédiée au vibe coding dans son Top 10 en 2025.

Chaque plateforme gère le problème différemment. Replit a répondu avec son Security Agent intégré. Lovable a rendu tous les projets publics privés par défaut après la fuite d'avril. Bolt et v0 n'ont pas de solution de sécurité intégrée — il faut utiliser des outils externes. Google AI Studio hérite de l'infrastructure de sécurité de Firebase, la plus mature du lot, mais reste vulnérable aux failles dans le code généré lui-même.

La conclusion est dure mais nécessaire : aucun de ces outils ne produit du code sûr par défaut. Un audit de sécurité avant toute mise en production n'est pas un luxe — c'est une obligation, surtout pour les PME qui traitent des données clients.

Lovable vs Bolt vs Replit vs v0 vs AI Studio : tableau comparatif sur 15 critères

Le tableau confirme ce que nos tests montrent : aucun outil ne domine sur tous les critères. Lovable et v0 gagnent sur l'UI. Replit gagne sur la portabilité et la robustesse. Bolt gagne sur la vitesse d'accès. Google gagne sur le prix. Personne ne gagne sur la sécurité du code généré.

Notre verdict : quel app builder IA choisir selon votre profil

Après avoir poussé chaque outil au-delà de la démo, voici nos recommandations tranchées par profil d'utilisateur.

Fondateur non technique qui veut montrer un MVP à un investisseur : Lovable. Rien ne produit un résultat plus présentable en moins de temps. Mais ne mettez jamais en production sans faire auditer le code et la configuration Supabase par un développeur. Le track record sécurité de Lovable interdit de lui faire confiance les yeux fermés.

Fondateur technique qui veut garder le contrôle : Replit. C'est le seul outil qui vous traite en développeur plutôt qu'en consommateur. Agent 4 est puissant, le Security Agent est un vrai différenciateur, et le code est exportable sans friction. Budget à surveiller de près : activez les alertes de facturation dès le premier jour.

Équipe design/dev qui connaît React : v0. Le code généré est le plus propre et le plus maintenable. Mais prévoyez le coût de l'écosystème Vercel à l'échelle, et ne comptez pas sur la portabilité si vous changez d'avis dans six mois.

Validation rapide d'une idée en une heure : Bolt.new. Le meilleur rapport vitesse/coût pour un prototype jetable. Ne construisez rien de permanent dessus.

Équipe déjà dans Google Workspace : Google AI Studio. Gratuit et connecté à votre écosystème existant. Mais immature comme app builder, et méfiez-vous de l'utilisation de vos données sur le free tier.

Application en production avec des données clients : aucun de ces outils, seul. Un audit sécurité, une revue de code humaine, et un plan de monitoring sont des prérequis non négociables. Le vibe coding est un accélérateur de prototypage, pas un substitut à l'ingénierie logicielle.

App builders IA : les questions que personne ne tranche encore

Plusieurs inconnues pèsent sur ce marché et vont déterminer quels outils survivront à la hype.

La sécurité va-t-elle s'améliorer assez vite ? Le Security Agent de Replit est un début. Mais tant que les modèles génèrent du code vulnérable dans 40 à 62 % des cas (selon Veracode), l'approche « générer puis scanner » reste un pansement sur une jambe de bois. La vraie solution serait des modèles entraînés avec la sécurité comme contrainte de premier ordre — et aucun éditeur ne l'a encore livré.

La facturation va-t-elle se stabiliser ? Les modèles à crédits/tokens/effort sont tous opaques à leur manière. Le coût réel d'une même tâche varie d'un facteur 2 à 5 selon la complexité du prompt, le nombre de fichiers modifiés, et la chance. Tant qu'un fondateur ne peut pas prévoir sa facture mensuelle à ±20 %, ces outils garderont un frein à l'adoption en PME.

Google va-t-il écraser le marché par la gratuité ? AI Studio est gratuit et adossé aux ressources de Google. Si l'output UI rattrape Lovable et v0 — ce qui est envisageable avec Gemini 2.5 — la dynamique du marché change radicalement. Les outils à 25 $/mois devront justifier leur prix par une qualité nettement supérieure ou des fonctionnalités entreprise inégalables.

Le mur des 15 composants va-t-il reculer ? C'est la question technique fondamentale. Les fenêtres de contexte des LLM augmentent (1 million de tokens chez Gemini, 200k chez Claude), mais la capacité à maintenir une cohérence architecturale sur une application complète reste limitée. Le jour où un modèle pourra raisonner sur 50+ composants sans régressions, le vibe coding passera du prototype à la production réelle. On n'y est pas encore.