Courtage en assurances · Outil métier
Du prototype Lovable à une application métier sécurisée pour le Cabinet Devorsine
Le Cabinet Devorsine est un courtier en assurances qui réunit plusieurs entités juridiques (Devorsine Assureur Conseils, Devorsine Immobilier, Green Risk Courtage) et gère un portefeuille multirisque : entreprises, flottes, immeubles et particuliers.
Pour piloter son activité, le cabinet avait construit lui-même, avec l’outil d’IA Lovable, une application métier très complète. Elle couvre la prospection, les études, les contrats, les sinistres, la comptabilité courtage, la GED, la messagerie Microsoft 365 et de nombreux assistants IA. Ce prototype avait fait ses preuves : l’équipe s’en servait au quotidien et en avait fait son outil central.
Mais le code avait été généré sans architecture logicielle sécurisée. Avant d’y confier durablement les données de ses clients, le cabinet a demandé à Scroll de reprendre l’application en main : audit de sécurité et de performance, reconstruction sur un socle professionnel, hébergement en France, reprise des données et mise en service. Environ 10 semaines, de l’audit fin juillet 2026 à la stabilisation début octobre ; la nouvelle application est en service depuis le 18 septembre 2026.
Problématiques et défis
Des failles de sécurité critiques. L’audit de Scroll a relevé 21 vulnérabilités, dont 3 critiques. L’une d’elles permettait à une personne sans compte d’accéder à la messagerie Microsoft de n’importe quel collaborateur, puis de lire, envoyer et supprimer ses e-mails.
Une protection de façade. Les droits d’accès étaient appliqués à l’affichage : l’écran était masqué, mais les données restaient accessibles à qui interrogeait directement la base.
Des lenteurs structurelles. À l’ouverture de session, l’application chargeait l’intégralité du CRM en mémoire. Elle téléchargeait aussi tous ses écrans d’un seul bloc et relisait des lignes entières là où quelques colonnes suffisaient.
Une dépendance à la plateforme. L’hébergement, la base de données et l’IA (Gemini, via la passerelle Lovable) étaient tous liés à l’outil. Le cabinet ne maîtrisait ni l’emplacement de ses données ni le fournisseur d’IA, et il n’avait pas d’environnement de test séparé.
Une exigence de continuité. Il fallait tout changer sous le capot sans perdre une donnée ni une fonctionnalité, et sans interrompre le travail de l’équipe.
La solution : audit, puis reconstruction sur un socle professionnel
Phase 1 : audit (fin juillet 2026). Un audit de sécurité complet du code, de la base de données, des fonctions serveur et des dépendances : 21 vulnérabilités classées par gravité, avec la correction à apporter pour chacune. Un audit de performance a mesuré les causes réelles de lenteur et leur coût. Conclusion : reconstruire l’application plutôt que la rapiécer, en la portant dans sa totalité.
Phase 2 : une nouvelle architecture (août à septembre 2026). Next.js 16, React 19 et TypeScript strict. Au total, 62 écrans et 41 traitements serveur, avec toutes les fonctionnalités métier reprises : portefeuille, études, contrats, sinistres, comptabilité courtage et EDI, GED, Microsoft 365, assistants IA.
Des contrôles d’accès réellement appliqués par le serveur. La session est vérifiée, et la double authentification ou le changement de mot de passe sont imposés avant même l’affichage d’un écran. La base de données garde ses propres règles d’accès en dernier rempart.
Les trois failles critiques fermées. L’identité de l’utilisateur vient toujours de sa session, jamais de la requête. Les appels internes sont protégés par un secret dédié. Les comptes et les mots de passe sont mieux protégés.
Les documents protégés. Les 9 espaces de stockage de fichiers sont privés, et chaque fichier n’est servi que par un lien temporaire signé.
Une suppression maîtrisée. Une suppression n’efface plus rien définitivement : l’élément part dans une corbeille d’où il peut être restauré, avec tout ce qu’il avait emporté. Seuls les administrateurs et les managers peuvent supprimer.
Une IA européenne. Mistral remplace Gemini sur tous les traitements IA (transcription, comptes-rendus, reformulation, lecture de documents). Un point d’accès unique permet de changer de modèle ou de fournisseur à un seul endroit.
Des performances repensées. Chaque écran ne charge que les données qu’il affiche, avec une pagination côté serveur.
Hébergement, reprise des données et mise en service
Un hébergement en France, sur un serveur OVH. La base de données Supabase est auto-hébergée : le cabinet est maître de ses données.
Deux environnements séparés : une recette pour essayer, une production pour travailler. Chaque version validée en recette part telle quelle en production, avec un retour arrière possible.
Une reprise complète des données de l’application Lovable et une bascule de l’équipe le 18 septembre 2026.
Un filet de sécurité : 74 fichiers de tests automatiques, 13 scénarios de bout en bout, des contrôles systématiques avant chaque publication, et une sauvegarde quotidienne chiffrée de la base de production, copiée hors du serveur.
L’autonomie du cabinet. Ses collaborateurs, qui ne sont pas développeurs, peuvent faire évoluer l’outil avec Claude, dans un cadre balisé : une branche de travail par modification, des contrôles obligatoires, des zones sensibles soumises à validation et un passage par la recette.
Résultats
Une sécurité sur des bases saines. Les trois failles critiques de l’application d’origine sont fermées, et les contrôles d’accès sont appliqués par le serveur, plus seulement par l’interface. Ce qui reste à traiter est identifié, documenté et suivi.
La continuité pour l’équipe. Les collaborateurs ont retrouvé tous leurs outils, avec toutes leurs données, sur une plateforme robuste.
La souveraineté. Les données sont hébergées en France, l’IA est européenne, et le cabinet ne dépend plus d’une plateforme de prototypage.
La maîtrise des évolutions. Grâce à la recette, aux tests, à la corbeille et au retour arrière, chaque évolution est vérifiée avant de toucher les vraies données.
Un outil qui peut grandir. Le cabinet peut continuer à faire évoluer son application lui-même, sur un socle conçu pour durer.