01
Synthèse décisionnelle
Verdict, points solides, risques prioritaires et limites de l’analyse.
Jérémy FavierLead développeur Flutter · 18 ans d’expérience en développement
Mon parcours
Mon parcours
Identifiez les risques de votre app. Décidez quoi corriger.
J’audite votre application Flutter ou native pour évaluer son architecture, sa sécurité et sa maintenabilité. Vous recevez des constats argumentés et des recommandations priorisées, sous 5 à 10 jours ouvrés selon le périmètre.
DEVLOPN / Extrait de rapport anonymisé
Du diagnostic au plan d’action
Chaque niveau de lecture répond à une question.
- 01Synthèse décisionnelle
Que faut-il traiter avant de livrer ?
- 02Analyse par domaine
Où se situent les risques ?
- 03Registre des findings
Sur quelles preuves agir ?
- 04Feuille de route
Dans quel ordre corriger ?
Le livrable
Un rapport pour décider. Des findings pour agir.
Une synthèse pour choisir vos priorités, des constats argumentés pour votre équipe et une feuille de route pour organiser les corrections.
02
Analyse par domaine
Architecture, sécurité, performance, tests et autres axes retenus au cadrage.
03
Registre des findings
Un identifiant par constat, avec sévérité, confiance, priorité, effort et recommandation.
04
Feuille de route
Actions rapides, dépendances, critères de validation et décisions à prendre.
Dans un finding
Chaque finding relie la preuve au risque, puis à une correction vérifiable.
La sévérité décrit l’impact. La priorité indique quand agir. Le niveau de confiance distingue ce que le code établit de ce qu’il reste à vérifier.
Une tâche planifiée peut s’arrêter sans alerte
Les erreurs d’exécution remontent bien. Mais si la tâche ne démarre jamais, aucune erreur n’est produite.
- Impact produit
- Des traitements attendus peuvent rester en attente sans que l’équipe le sache.
- Preuve et confiance
- Le rapport relie ce constat au déclenchement des alertes dans le code. Confiance élevée sur cette limite ; configuration distante à vérifier.
- Correction et validation
- Surveiller les exécutions attendues depuis un service indépendant, puis simuler une absence de démarrage pour vérifier l’alerte.
Adapté d’un audit réel d’application web. Projet et détails identifiants anonymisés. Le périmètre de votre audit est défini selon l’offre.
Pourquoi maintenant
Trois moments où l'audit Flutter est décisif
Avant une levée de fonds
Les investisseurs sérieux mandatent une due diligence technique. Un rapport d'audit signé par un expert répond à cette exigence directement, réduit les frictions et accélère la closing. Il documente la dette technique existante au lieu de la laisser surgir en négociation.
Après une phase intensive de vibe coding
Après une phase de génération intensive, une revue permet d’examiner les contrôles d’accès, les secrets, les appels d’API et les responsabilités du code. Les tests et l’analyse statique apportent des indices que je confronte au contexte du produit.
Avant un rachat ou une refonte stratégique
Cartographier la dette technique avant une transaction ou une réécriture permet de négocier en connaissance de cause, de prioriser le travail de refonte et d'éviter de reprendre une base dont la sécurité ou la conformité pose des problèmes cachés.
Tarifs
Trois paliers. Prix publics
Audit Express
990 € HT
Livraison en 5 jours ouvrés
Pour les startups pre-seed et les projets jusqu'à 10 000 lignes de code.
- Analyse des 8 catégories
- Rapport PDF complet
- Présentation PPT
- Lien sécurisé, expire 30 j
- NDA sur demande
- Facture EURL DEVLOPN
Hors restitution visio — au-delà de 10 000 lignes : Audit Pro
CommanderAudit Pro
2 490 € HT
Livraison en 7 jours ouvrés
Pour les apps en production, de 10 001 à 50 000 lignes de code.
- Analyse des 8 catégories
- Rapport PDF complet
- Présentation PPT
- Lien sécurisé, expire 30 j
- NDA sur demande
- Facture EURL DEVLOPN
Hors restitution visio — au-delà de 50 000 lignes : Due Diligence
+ Option contre-visite (sous 90 j) — 790 € HT
Commander
Due Diligence
4 900 € HT
Livraison en 10 jours ouvrés
Pour les levées de fonds, les rachats et les refontes stratégiques. Une application jusqu'à 150 000 lignes de code ; au-delà, ou pour plusieurs applications, échange de cadrage avant commande.
- Analyse des 8 catégories
- Rapport PDF complet
- Présentation PPT
- Restitution visio 1h avec l'expert
- Rapport signé, transmissible à des tiers (investisseurs, acquéreurs)
- NDA systématique
- Facture EURL DEVLOPN
Inclus : restitution visio et rapport transmissible à des tiers
+ Option contre-visite (sous 120 j, visio incluse) — 1 790 € HT
Commander
Le délai court à compter de la réception complète des accès au code source et, si un NDA est prévu, de sa signature (CGV, art. 7). Due Diligence au-delà de 150 000 lignes de code, monorepo ou plusieurs applications : décrivez le périmètre avant de commander. Échanger sur le périmètre
Comment compter vos lignes de code ?
Les seuils portent sur les lignes de code hors commentaires et lignes vides : code applicatif, tests et code natif écrit à la main inclus ; code généré, dépendances et artefacts de build exclus. Depuis la racine du dépôt :
cloc --vcs=git --not-match-f='(\.(g|freezed|mocks|gr|config)\.dart|GeneratedPluginRegistrant\.\w+)$' .Retenez le total de la colonne code. L’option --vcs=git limite le comptage aux fichiers suivis par Git.
Facture émise par EURL DEVLOPN · Conforme TVA française · Paiement sécurisé via Stripe
Périmètre
Ce qui est audité — Flutter & Mobile Natif
Huit catégories pour situer les risques. Chaque constat retenu précise son impact, les éléments observés et une recommandation adaptée au projet.
01
Architecture & organisation
- Clean Architecture, séparation des couches, injection de dépendances
- Modularisation, gestion du routing
- Cohérence structurelle à l'échelle du projet
02
State management
- Bloc, Cubit, Riverpod, Provider — usage idiomatique
- Immutabilité, propagation d'état, side effects
- Fuites de streams et de listeners
03
Performance Flutter
- Rebuilds inutiles, const constructors, ListView builders
- Gestion des images, risques de jank repérés dans le code (budget de frame de 16 ms)
- Analyse statique des hot paths de rendu
04
Sécurité mobile
- Flutter Secure Storage, secrets en clair, certificate pinning
- ATS iOS, ProGuard et R8 Android, obfuscation
- OWASP Mobile Top 10
05
Compliance stores
- Info.plist, AndroidManifest, privacy manifests Apple
- Target SDK levels, permissions déclarées vs utilisées
- Risques de rejet App Store / Google Play
06
Dépendances
- pubspec.yaml, packages obsolètes ou abandonnés
- CVE connues, contraintes de version
- Licences et conformité open source
07
Tests & CI/CD
- Coverage, unit tests, widget tests, integration tests
- Pipelines, processus de release, qualité des gates
- Risques liés à l'absence de tests sur le code critique
08
Code IA-généré (transverse)
- Patterns suspects, secrets exposés, auth bricolée
- Hallucinations d'API, code mort, duplication non intentionnelle
- Duplication, code mort et abstractions inadaptées
Processus
Comment ça marche
Cinq étapes, sans réunion préliminaire hors cadrage d'une Due Diligence étendue. Du paiement au rapport, le processus est conçu pour ne pas interrompre votre sprint.
1
Commande et paiement en ligne
Vous choisissez votre palier et payez via Stripe. Vous recevez une confirmation de commande et une facture EURL DEVLOPN, conforme à la TVA française. Aucun échange préalable n'est requis, sauf pour une Due Diligence au-delà de 150 000 lignes de code ou portant sur plusieurs applications.
2
Accès au dépôt de code
Dans les 5 jours ouvrés suivant la commande, vous partagez l'accès à votre repo (GitHub, GitLab, Bitbucket) ou une archive ZIP, en indiquant la branche ou le commit à auditer. Le NDA est signé avant tout accès : sur demande pour Audit Express et Audit Pro, systématiquement pour Due Diligence. Le délai de livraison court à partir de la réception complète des accès et, le cas échéant, de la signature du NDA.
3
Analyse multi-agents
Nos agents IA spécialisés analysent les 8 catégories en parallèle : architecture, état, performance Flutter, sécurité mobile, compliance stores, dépendances, tests et code généré par IA.
4
Relecture et signature expert
Je vérifie les constats produits par les outils, écarte ceux qui ne sont pas étayés et adapte les recommandations à votre produit avant de signer le rapport.
5
Livraison du rapport
Rapport PDF + présentation PPT livrés par email. Le lien d'accès est sécurisé et expire au bout de 30 jours. Votre code est supprimé de nos systèmes au plus tard 30 jours après la livraison du rapport.
Méthodologie
Une analyse outillée, vérifiée et contextualisée
Agents spécialisés par domaine
Les agents analysent chacun un domaine, à partir des références OWASP Mobile, Apple, Google et Flutter. Je vérifie leurs conclusions et la pertinence des références citées.
Références techniques
Les recommandations renvoient à la documentation des plateformes et aux référentiels de sécurité pertinents. Leur applicabilité est vérifiée pour la version et le contexte étudiés.
Validation humaine systématique
Je confronte chaque constat au code et à son contexte : prérequis, impact produit, sévérité et correction proposée. Les hypothèses non confirmées sont distinguées des risques établis.
Dépôt → analyses spécialisées → consolidation → validation par Jérémy → rapport priorisé.
Pipeline d'audit multi-agents — accent terracotta : seul maillon humain
Option disponible sur Audit Pro et Due Diligence
Vérifiez les corrections après l’audit
Un rapport d'audit qui finit dans un Notion oublié ne vaut rien. La contre-visite vérifie que les findings ont été corrigés, sans régression. Vous repartez avec une attestation de vérification signée par l'expert, datée et rattachée au commit vérifié, qui documente votre démarche auprès de vos investisseurs, de votre board ou en préparation d'un audit réglementaire.
01
Re-scan ciblé sur vos findings
La contre-visite porte uniquement sur les findings de l'audit initial, dans le commit corrigé que vous indiquez. Chaque point est marqué Corrigé, Partiellement corrigé, Non corrigé ou Régression. Pas de re-facturation d'un audit complet.
02
Livré en 2 à 3 jours ouvrés
Vous déclenchez la contre-visite quand vos correctifs sont prêts, dans les 90 jours suivant la livraison du rapport initial (120 jours pour Due Diligence). Le rapport de contre-visite est livré en 2 à 3 jours ouvrés à compter de l'accès au commit corrigé.
03
Attestation de vérification signée
Si l'ensemble des findings critiques et élevés est corrigé, vous recevez une attestation signée par l'expert. Elle identifie le commit vérifié et sa date, et ne couvre pas les modifications ultérieures du code. Utilisable comme élément de dossier en due diligence, préparation SOC 2/ISO 27001 ou réponse à un questionnaire sécurité enterprise.
L'attestation engage la responsabilité professionnelle de DEVLOPN sur la véracité des constats, pour le commit vérifié et à sa date d'émission. DEVLOPN n'est pas un organisme de certification accrédité ; l'attestation ne se substitue pas à une certification ISO 27001, SOC 2 ou à une qualification ANSSI.
À la commande : option à 790 € HT pour Audit Pro, 1 790 € HT pour Due Diligence, restitution visio incluse. Non disponible pour Audit Express.
Expert signataire
Des arbitrages expliqués
Je relis les constats, vérifie les références et hiérarchise les corrections selon leurs conséquences pour votre produit. Le rapport explique ce qui justifie une priorité et ce qui reste à vérifier.
Je suis Jérémy Favier, lead développeur Flutter freelance. Mes missions de développement et d’architecture chez Renault Digital, SNCF Connect & Tech et Thales nourrissent ma pratique de la revue de code. Découvrir mon parcours.
Missions de développement et d’architecture
Le regard de mes collègues
« rigueur, de pragmatisme et d’une vraie capacité à embarquer les autres »
Mission Renault Digital · Recommandation LinkedIn, 2026
« une vision long terme aux projets »
Mission SNCF Connect · Recommandation LinkedIn, 2026
Extraits de recommandations sur mes missions de développement, distinctes de cette offre d’audit. Lire les recommandations sur mon portfolio.
Questions
Ce qu'on nous demande
Réponses directes aux vraies objections — confidentialité, infrastructure IA, périmètre, délais.
Comment garantissez-vous la confidentialité de mon code ?+
Un NDA peut être signé avant tout accès au dépôt — c'est une option disponible sur tous les paliers, systématique sur le Due Diligence. L'accès au repo est révocable à tout moment depuis votre interface GitHub, GitLab ou Bitbucket. Votre code est supprimé de nos systèmes au plus tard 30 jours après la livraison du rapport.
Vos agents IA envoient-ils mon code à OpenAI ou Anthropic ?+
Votre code est transmis à Anthropic : l'analyse s'appuie sur Claude, utilisé via l'API d'Anthropic dans le cadre de ses conditions commerciales. Anthropic agit en tant que sous-traitant, lié par un accord de traitement des données (DPA). Les données transmises ne sont pas utilisées pour l'entraînement des modèles ; Anthropic les supprime de ses systèmes sous 30 jours, sauf contenu signalé par ses systèmes de sécurité (jusqu'à 2 ans) ou obligation légale. Aucun accord de non-conservation des données (« zero data retention ») n'est en place. Si votre contexte impose des contraintes spécifiques (cloud souverain, air gap, aucune transmission à un fournisseur d'IA), contactez-nous avant commande.
Qui est l'expert qui signe mon rapport ?+
Je suis Jérémy Favier, lead développeur Flutter freelance. Je vérifie et signe votre rapport. Mon parcours comprend des missions de développement et d’architecture chez Renault Digital, SNCF Connect & Tech et Thales. Voir mon parcours.
Pourquoi pas un SaaS continu type CodeRabbit ou SonarQube ?+
Les outils de revue continue et d’analyse statique contribuent au suivi quotidien de la qualité. L’audit apporte une revue à un instant donné, des arbitrages liés à votre contexte et un rapport que vous pouvez partager avec votre équipe ou vos partenaires.
Qu'est-ce que l'option contre-visite ?+
Un re-check ciblé sur les findings de l'audit initial, à souscrire à la commande pour 790 € HT (Audit Pro) ou 1 790 € HT (Due Diligence). Vous la déclenchez quand vos correctifs sont prêts, dans les 90 jours suivant la livraison du rapport (120 jours pour Due Diligence). Vous recevez un rapport de contre-visite et, si les findings critiques et élevés sont corrigés, une attestation de vérification signée, datée et rattachée au commit vérifié. Pour Due Diligence, la contre-visite comprend une restitution en visio. Non utilisée dans ce délai, l'option n'est pas remboursée. Elle n'est pas disponible sur Audit Express.
Que vaut l'attestation de vérification ?+
C'est un document signé par l'expert qui atteste que les findings critiques et élevés de l'audit initial sont corrigés sans régression dans le commit vérifié, à la date indiquée. Il ne couvre pas les modifications ultérieures du code. Il s'utilise comme élément de dossier dans une due diligence technique (levée de fonds, rachat), en préparation d'un audit réglementaire (SOC 2, ISO 27001) ou en réponse à un questionnaire sécurité enterprise. Il ne se substitue pas à une certification ISO ou SOC, mais il documente une démarche de revue de code externe et le suivi des corrections.
Auditez-vous iOS natif et Android natif, ou seulement Flutter ?+
Nous auditons les apps Flutter, iOS natif (Swift / Objective-C), Android natif (Kotlin / Java) et les projets Flutter mixtes avec modules natifs. Les catégories d'analyse s'adaptent : sécurité mobile et compliance stores sont universelles, les catégories state management et performance sont calibrées par plateforme.
Et si une grande partie de mon code a été générée par IA ?+
Oui. La revue porte sur les défauts observables : API inexistantes, contrôles d’accès incomplets, duplication, code mort ou abstractions inadaptées. Elle ne permet pas d’attribuer avec certitude l’origine humaine ou générée d’un morceau de code.
Délai de paiement, politique de remboursement ?+
Le paiement est dû à la commande via Stripe. Si l'audit ne peut pas démarrer (accès non fourni sous 5 jours ouvrés, repo inaccessible), le montant est intégralement remboursé. Une fois l'analyse lancée, aucun remboursement n'est possible, sauf force majeure ou faute grave de ma part. En cas de retard qui m'est imputable, vous pouvez demander un remboursement proportionnel au retard, plafonné à 10 % du prix HT par jour ouvré de retard et au prix payé (CGV, art. 7).
Puis-je avoir une restitution en visio ?+
La restitution visio d'une heure avec l'expert est incluse dans le palier Due Diligence. Elle permet de parcourir les findings critiques, de poser des questions et de prioriser les actions. Elle n'est pas disponible en option sur les paliers Express et Pro — si elle est importante pour vous, le Due Diligence est le bon choix.
Pour approfondir
Des décisions concrètes dans le code
Contact
Parlons de votre application
Une hésitation entre deux offres, un périmètre à cadrer ou une Due Diligence à préparer : parlons-en.
Quelques lignes sur votre contexte suffisent pour démarrer : produit, équipe, échéance.
15 ou 30 min, réservation via Cal.com.
Ou directement : [email protected]
Prêt à auditer votre code ?
Choisissez votre palier pour une livraison sous 5 à 10 jours ouvrés selon le périmètre. Pour préparer votre demande, décrivez votre application et votre objectif.
Commander un audit