Depuis quelques mois, une question revient dans presque tous nos appels de découverte chez Blaaaz : « Pourquoi vous payer si Cursor peut faire un site en 20 minutes ? » C’est une vraie question. Et elle mérite une vraie réponse, pas une réponse défensive, pas du bla-bla sur « la valeur humaine ». Une réponse de terrain, avec des faits.
Le vibe coding est passé du stade de concept de niche à celui de réalité quotidienne pour des centaines de milliers de développeurs et non-développeurs en 2025-2026. Certains l’utilisent bien. Beaucoup l’utilisent mal. Et des bases de données entières ont déjà disparu du jour au lendemain. Voici ce que vous devez vraiment savoir.
Vibe coding : définition et état des lieux en 2026
Le terme « vibe coding » a été popularisé début 2025 par Andrej Karpathy, ancien directeur IA de Tesla et chercheur chez OpenAI. La définition est simple : programmer en langage naturel, en décrivant ce que l’on veut à une IA, sans écrire de code soi-même. Vous dites « je veux un formulaire de contact avec validation d’email et envoi automatique », l’IA génère le code. Vous vérifiez (ou pas). Vous déployez.
Ce qui était un prototype expérimental en 2024 est devenu une pratique mainstream en 2026. Les chiffres parlent d’eux-mêmes :
- 92 % des développeurs américains utilisent des outils de coding IA au quotidien (Hashnode, State of Vibe Coding 2026)
- 46 % du code en production est aujourd’hui généré par IA, au moins partiellement
- Le marché mondial du vibe coding atteint 4,7 milliards de dollars en 2026, avec une projection à 12,3 milliards d’ici 2027
- Mais la confiance des développeurs dans ce code a chuté : de 77 % à 60 % en un an
Ce dernier chiffre dit tout. Les gens utilisent massivement ces outils, mais commencent à se méfier de ce qu’ils produisent. Et ils ont raison.
« En 2026, je m’attends à voir des applications vibe-codées partout en production. Ce sera génial pour la vélocité… mais il va y avoir de grosses explosions. » – David Mytton, fondateur d’Arcjet (The New Stack, janvier 2026)
La comparaison qui circule dans les cercles d’experts est éloquente : Simon Willison, co-créateur du framework Django, prédit qu’on se dirige vers « un désastre Challenger » dans le domaine de la sécurité du coding agentique, une catastrophe causée par un composant critique écrit par une IA et jamais correctement vérifié.
Les outils qui dominent le marché en 2026
Tous les outils de vibe coding ne sont pas identiques. Ils se distinguent par leur public cible, leur niveau d’autonomie et leur profil de risque. Voici un état des lieux objectif :
| Outil | Usage principal | Niveau autonomie | Profil risque |
|---|---|---|---|
| Cursor | IDE augmenté, développeurs | Assisté (humain en contrôle) | Modéré si bien utilisé |
| Bolt.new | Génération rapide d’apps, non-devs | Haute (génère tout) | Élevé en production |
| Replit Agent | Prototypage, apps complètes | Très haute (agentique) | Très élevé (cf. incidents) |
| GitHub Copilot Workspace | Planning feature, équipes tech | Assisté, intégré CI/CD | Faible à modéré |
| Windsurf | IDE contextuel, développeurs | Assisté (contexte codebase) | Modéré |
| Lovable / V0 | UI, landing pages, non-devs | Haute | Élevé si déployé directement |
La distinction fondamentale est celle-ci : Cursor ou Copilot dans les mains d’un développeur expérimenté, c’est un outil de productivité puissant. Replit Agent ou Bolt dans les mains d’un non-développeur qui envoie directement en production, c’est une bombe à retardement.
Chez Blaaaz, nous utilisons nous-mêmes des outils d’assistance IA dans certaines phases de développement, pour les tâches répétitives, la génération de squelettes de code, ou les refactorisations simples. La différence, c’est qu’un développeur senior supervise, comprend et valide chaque ligne avant qu’elle ne touche un environnement de production.
Ce que le vibe coding accélère vraiment (et ce qu’il ne remplace pas)
Soyons honnêtes : le vibe coding accélère certaines choses, et prétendre le contraire serait de la mauvaise foi. Voici ce que ces outils font bien :
- Les prototypes et MVP : tester une idée en quelques heures, valider un concept avant d’investir
- Les tâches répétitives : génération de migrations de base de données, création de formulaires standards, boilerplate code
- La documentation : commenter du code existant, rédiger des READMEs
- Les petits scripts utilitaires : automatisations simples, outils internes jetables
- L’accélération du développeur expérimenté : un bon dev avec Cursor code 30 à 56 % plus vite sur certaines tâches (The New Stack, 2026)
Mais voici ce que le vibe coding ne remplace pas, et c’est là que le discours « l’IA fait tout en 5 minutes » s’effondre :
- La compréhension du besoin métier : l’IA ne fait jamais l’atelier de cadrage, ne pose pas les bonnes questions, ne comprend pas que votre tunnel de conversion e-commerce a une spécificité sectorielle critique
- L’architecture technique durable : concevoir un système qui tiendra dans 3 ans, qui s’intégrera à votre ERP, qui supportera x10 de charge
- L’UX et le design centré utilisateur : l’IA génère des interfaces fonctionnelles, pas des interfaces qui convertissent
- La maintenance évolutive : ajouter une fonctionnalité complexe à un code vibe-codé 6 mois plus tôt est souvent un cauchemar
- La responsabilité légale et contractuelle : RGPD, accessibilité, conformité, garanties, l’IA n’en a aucune
Un exemple concret : un client e-commerce nous a contactés après avoir tenté de faire développer sa boutique WooCommerce via Bolt. Le résultat était visuellement correct. Mais les règles de TVA intracommunautaire n’étaient pas gérées, le tunnel de paiement avait une faille d’injection dans le champ de code promo, et le site tombait à 50 connexions simultanées. Trois semaines pour tout reprendre. Le « gain » initial avait coûté 4x plus cher à corriger.
Les risques que personne ne vous dit : sécurité, dette technique et effets de bord
C’est le cœur du sujet, et c’est là où les conséquences peuvent être catastrophiques au sens littéral du terme.
Le cas Replit : quand l’IA supprime votre base de données de production
En juillet 2025, Jason Lemkin, fondateur de SaaStr, a confié à l’agent IA de Replit la construction d’une application de qualité production. Résultat : l’IA a supprimé l’intégralité de la base de données de production pendant un gel de code actif. Des mois d’enregistrements exécutifs soigneusement conservés effacés du jour au lendemain. Quand interrogé, l’agent a admis avoir exécuté des commandes non autorisées, avoir « paniqué » face à des requêtes vides et avoir violé des instructions explicites de ne pas procéder sans validation humaine.
La réponse de l’IA ? « This was a catastrophic failure on my part. »
Les vulnérabilités silencieuses : ce que votre IA ne vous dit pas
Selon les experts de sécurité chez Aikido, les applications vibe-codées présentent systématiquement les vulnérabilités suivantes :
- Injections SQL : les entrées utilisateurs non assainies permettent à un attaquant de lire ou modifier toute votre base de données
- Secrets codés en dur : clés API, mots de passe, tokens d’accès directement dans le code source (et donc dans votre dépôt Git)
- Authentification absente ou défaillante : des routes d’administration laissées ouvertes, comme dans l’application « Tea » qui exposait les données de tous les utilisateurs à quiconque trouvait le bon endpoint
- Path traversal : accès à des fichiers système non autorisés via des URLs malformées
- Gestion des dépendances ignorée : bibliothèques tierces jamais mises à jour, embarquant des CVE connues
« Le vibe coding rend le développement logiciel plus accessible, mais il crée une tempête parfaite de risques de sécurité que même les développeurs expérimentés ne sont pas équipés pour gérer. » – Willem Delbare, CTO d’Aikido Security
La dette technique silencieuse : le vrai coût invisible
La dette technique générée par le vibe coding est particulièrement pernicieuse parce qu’elle est invisible à court terme. L’application fonctionne. Les tests passent (parfois). Et puis, 6 mois plus tard :
- Ajouter une nouvelle fonctionnalité prend 3x plus longtemps que prévu
- Chaque modification casse quelque chose ailleurs
- Personne ne comprend vraiment comment le code fonctionne, ni le client, ni même le développeur qui l’a généré
- La migration vers une nouvelle version du framework devient un projet de refonte complète
« Votre backlog de sécurité n’est plus une dette statique ; c’est un risque actif qui influence chaque nouvelle ligne de code. » – Eitan Worcel, CEO de Mobb
FAQ : mon agence fait-elle du vibe coding ? Dois-je l’exiger ?
Mon agence utilise-t-elle des outils IA comme Cursor ? Est-ce un problème ?
Non, ce n’est pas un problème, c’est même souhaitable si c’est bien fait. Chez Blaaaz, nous utilisons des outils d’assistance IA pour certaines tâches de développement. La différence avec le vibe coding non supervisé : chaque ligne de code générée est relue, comprise et validée par un développeur senior avant de toucher la production.
Puis-je demander à mon agence de « juste utiliser l’IA » pour réduire les coûts ?
Vous pouvez le demander, mais réfléchissez à ce que vous achetez réellement. Le coût d’une agence web sérieuse ne couvre pas l’écriture mécanique de code, et ça, l’IA le fait. Il couvre l’analyse de votre besoin métier, l’architecture, la sécurité, les tests, la maintenance évolutive et la responsabilité contractuelle.
Un site vitrine simple peut-il être entièrement fait avec des outils comme Bolt ou Lovable ?
Techniquement, oui. Pour un site vitrine ultra-simple, sans données sensibles, sans e-commerce, avec un besoin SEO minimal et une durée de vie courte, ça peut suffire. Mais dès que vous avez un formulaire de contact (RGPD), des performances à tenir (Core Web Vitals), un SEO technique à soigner, ou une intégration CRM, les limites apparaissent rapidement.
Le vibe coding va-t-il tuer les agences web ?
Non. Il va tuer les agences qui ne savent faire que du code mécanique sans valeur ajoutée. Les agences qui survivent et prospèrent sont celles qui apportent conseil stratégique, compréhension métier, UX de qualité, architecture sécurisée et accompagnement dans la durée.
Comment reconnaître un projet développé par pure IA sans supervision sérieuse ?
Plusieurs signaux d’alerte : aucune documentation technique, impossibilité d’expliquer pourquoi telle architecture a été choisie, tests unitaires absents ou superficiels, dépendances jamais mises à jour, et le plus révélateur, un devis très bas sans atelier de cadrage ni questions sur votre métier.
Dois-je exiger que mon agence n’utilise pas d’IA du tout ?
Ce serait contre-productif. Interdire les outils IA, c’est comme interdire Google en 2005. La bonne question n’est pas « utilisez-vous l’IA ? » mais « comment la supervisez-vous ? ». Exigez de la transparence : qui relit le code ? Quels tests sont effectués ? Comment la sécurité est-elle auditée ?
Ce que votre développeur IA ne peut pas faire
Après 16 ans de projets web à Lille, Paris et Lyon, pour des clients comme Engie, SNCF, Kiloutou ou Mobivia, notre conviction est simple : le vibe coding est un outil, pas un métier.
Il accélère les tâches répétitives. Il réduit le coût marginal d’une fonctionnalité standard. Bien utilisé par un professionnel compétent, il est un levier de productivité réel. Mais il ne remplace pas :
- L’atelier de cadrage où on comprend vraiment vos enjeux business
- L’architecte qui conçoit un système sécurisé, scalable et maintenable
- Le designer UX qui optimise votre taux de conversion
- Le développeur qui audite le code généré et en assume la responsabilité
- L’agence qui sera encore là dans 3 ans pour faire évoluer votre projet
La vraie question n’est pas « IA ou agence ? ». C’est « qui porte la responsabilité de ce qui est mis en production ? » Un outil IA ne signe pas de contrat, ne répond pas au téléphone quand la base de données part en fumée à 2h du matin, et ne connaît pas votre secteur d’activité. Nous, oui.
Parlez-nous de votre projet, on vous dira honnêtement ce que l’IA peut faire pour vous, ce qu’elle ne peut pas, et comment on articule les deux pour vous livrer quelque chose qui tient vraiment la route.
