Le vibe coding, c'est construire une application en conversant avec une IA plutôt qu'en écrivant le code à la main. Tu décris l'écran, la fonctionnalité ou le bug, l'outil produit le code, tu regardes le résultat et tu ajustes. Lovable, Bolt, v0, Replit ou Base44 en ont fait une expérience accessible à des personnes qui n'ont jamais programmé.
D'où vient le terme
Andrej Karpathy, chercheur en IA et cofondateur d'OpenAI, a lancé l'expression le 2 février 2025. Il décrivait une manière de coder où l'on « se laisse porter par les vibes » et où l'on « oublie que le code existe ». Le terme a pris en quelques semaines : Merriam-Webster l'a ajouté à ses expressions tendances en mars 2025, et Collins en a fait son mot de l'année 2025.
Le mot a aujourd'hui deux usages. Au sens strict, il désigne la pratique où l'on ne lit pas le code. Au sens large, il désigne toute app construite principalement par conversation avec une IA, y compris quand un développeur repasse derrière.
Ce que le vibe coding fait très bien
Il serait faux de le réduire à un gadget. Il change réellement la façon de lancer un produit :
- La vitesse de la première version. Un prototype cliquable se fait en quelques heures, parfois en une après-midi, là où il fallait plusieurs semaines
- L'accès direct pour le métier. La personne qui connaît le problème construit elle-même, sans traduire son besoin dans un cahier des charges
- La validation avant l'investissement. On peut montrer une app à de vrais clients, mesurer l'intérêt et décider ensuite où investir
- Une base de code réelle. La plupart des plateformes produisent du code standard (React, TypeScript, PostgreSQL) qu'un développeur peut reprendre. Notre guide sur l'export et la propriété du code détaille ce qui part avec le dépôt et ce qui reste lié au service
Ce que la démo ne montre pas
Une démo répond à la question « est-ce que ça marche ? ». La production pose d'autres questions, que l'interface ne révèle pas :
- Qui peut lire quelles données ? Une règle d'accès trop large ne se voit pas à l'écran. Sur Supabase, c'est le rôle du Row Level Security
- Où sont les secrets ? Une clé de paiement ou d'email collée dans le code du navigateur fonctionne, et elle est lisible par tout visiteur
- À qui appartiennent les comptes ? Domaine, base, hébergeur, service d'emails : tout doit être au nom de l'entreprise, pas d'un prestataire ou d'un compte personnel
- Peut-on revenir en arrière ? Sauvegardes, historique Git, environnement de test
- Un développeur peut-il reprendre le code ? Structure, tests, documentation et cohérence des fichiers générés au fil des itérations
Les études publiées vont dans le même sens. En octobre 2025, Veracode observait que les modèles génèrent un code de plus en plus fonctionnel, sans progrès équivalent sur la sécurité. Cela ne disqualifie pas la méthode : cela indique où placer les vérifications.
Un exemple concret
Une consultante construit avec Lovable un portail pour ses clients : dépôt de documents, messagerie, facturation. En trois semaines, elle a dix clients actifs. Un grand compte demande alors un questionnaire de sécurité avant de signer.
Les questions portent sur la localisation des données, les droits d'accès, les sauvegardes et le propriétaire des comptes. Rien de cela n'est visible dans l'app. Un passage en revue montre que l'essentiel tient la route, avec quatre points à corriger : deux règles d'accès trop larges, une clé d'email exposée et un domaine encore enregistré au nom d'un freelance. Les corrections prennent quelques jours, sans reconstruire l'app.
Vibe coding et développement assisté par IA
Les deux utilisent les mêmes outils. La différence tient à la responsabilité. En vibe coding pur, personne ne relit le code. En développement assisté par IA, un ingénieur utilise Claude Code, Codex, Cursor ou Antigravity, mais relit, teste, versionne et reste responsable de ce qui part en ligne. C'est la manière de travailler de KERN-IT, et c'est aussi la trajectoire naturelle d'un projet qui réussit. Pour un dépôt produit avec un agent de code, l'Indice de reprise mesure justement cette capacité à être repris.
Quand faire vérifier une app vibe codée
Le bon moment se situe avant une étape qui change les enjeux : les premiers clients payants, des données sensibles, une levée de fonds, un client grand compte ou la reprise par un développeur. Notre article quand auditer une app IA liste six signaux concrets. Le Scan de vibebusters examine ensuite le code, la configuration et les services réellement utilisés, en 72 h ouvrées.