GENTLE DESIGNS
Accueil
Services
Ressources
Actualités
Portfolio
Sécurité numérique
Contact
Ressources
/
Guides
/
Code review
Code review
Checklist
Questions à se poser en relisant son code ou celui de l'IA.
Vérifié le
16 octobre 2026
0 / 18 complétés
0%
Lisibilité
Le code est-il compréhensible sans lire 50 lignes de contexte ?
Les noms de variables et fonctions sont-ils explicites ? (Pas de x, data, process()).
Y a-t-il des commentaires pour expliquer le "pourquoi" des parties complexes ?
Les imports sont-ils triés et sans imports inutilisés ?
Architecture et Clean Code
Y a-t-il de la duplication de code à factoriser ?
Les fonctions sont-elles courtes et à responsabilité unique ?
Les types/interfaces sont-ils correctement définis (TypeScript) ou les type hints présents (Python) ?
La séparation UI / logique métier / accès données est-elle respectée ?
Robustesse
Les cas d'erreur (null, réseau coupé, input invalide) sont-ils gérés ?
Y a-t-il des risques de sécurité évidents ? (Injection SQL, XSS, secrets en dur)
Les données utilisateur sont-elles validées avant traitement ?
Code généré par IA
L'IA n'a-t-elle pas ajouté de dépendances inutiles ou sur-engineeré la solution ?
Les fichiers de config (.env, credentials) n'ont-ils pas été exposés ?
Le code fait-il réellement ce qui a été demandé, ou fait-il "plus" sans raison ?
Code écrit par l'IA : sécurité
Aller plus loin : le parcours sécurité Vibe coder
L'autorisation est-elle vérifiée côté serveur sur chaque route ou action (« a-t-il le droit sur CETTE ressource ? »), et pas seulement masquée dans l'interface ?
Les règles d'accès à la base de données sont-elles présentes ET testées ? (RLS Supabase sur chaque table exposée, règles d'API PocketBase — essayer avec la seule clé publique sans être connecté, puis connecté en tant qu'un autre utilisateur)
Aucune clé secrète n'arrive-t-elle côté client ? (Rien de sensible dans les variables NEXT_PUBLIC_* / VITE_*, ni dans le bundle buildé ; côté Supabase, la clé publishable seulement, jamais secret / service_role)
Chaque paquet suggéré par l'IA existe-t-il vraiment, et est-il légitime (ancienneté, mainteneurs, popularité) ? (Paquets hallucinés / slopsquatting — npm view <paquet> time.created maintainers repository)
Réinitialiser la checklist
Guide compagnon : Debug structuré
Tous les guides