Introduction — le même mois, le même outil, deux notes opposées

Justin Waters a construit trois applications complètes en une semaine. Il le dit lui-même, et il ne retire rien à cette phrase. Il a tout de même mis deux étoiles sur cinq à Base44, le 8 septembre 2026, pour une raison qui tient en une ligne : « Il vient de prélever plus de 650 dollars sur mon compte sans me montrer le coût ni me demander confirmation. »

Les deux moitiés de cet avis sont le sujet de cet article.

Base44 est une plateforme israélienne de vibe coding : on décrit une application en langage courant, une intelligence artificielle l’écrit, l’héberge et la met en ligne. Fondée en janvier 2025 par Maor Shlomo, en solo et sans levée de fonds, elle a été rachetée par Wix en juin 2025 pour 80 millions de dollars au comptant, avec des compléments prévus en 2029. Six à huit salariés au moment de la vente selon les sources. Son fondateur avait publié, quelques semaines avant le rachat, un bénéfice mensuel de 189 000 dollars.

Ce n’est donc pas une curiosité. C’est l’un des produits les plus utilisés de sa catégorie, et son chiffre d’affaires annualisé est passé de 100 à 200 millions de dollars en environ cinq mois.

Et c’est là que les chiffres deviennent intéressants. Sur Product Hunt, Base44 obtient 4,4 sur 5 — pour 41 avis. Sur Capterra, 3,3 sur 5 — pour 3 avis. Sur G2, environ 3,8 sur 5 — pour 4 avis. Sur Trustpilot, 2,8 sur 5 — pour 909 avis, dont 53 % d’une seule étoile.

Plus l’échantillon grandit, plus la note tombe. Cet article explique pourquoi, avec les pièces.

Résumé du test

La promesse : décrire une idée en langage courant et obtenir en quelques minutes une application complète, avec base de données, authentification, paiements et hébergement, prête à être livrée dès le premier jour, à partir de 16 dollars par mois, sans développeur et sans connaissance technique.

Notre verdict : partiellement tenue.

Trois constats tiennent tout l’article.

1. La partie technique est vraie, et c’est mesurable. Une application à quatre écrans, avec base de données, données de démonstration et trois rôles d’utilisateur, sort en moins de six minutes à partir d’une seule consigne, et se met en ligne en dix secondes. Ce n’est pas une formule publicitaire : c’est reproductible, et un testeur francophone l’a chronométré sur huit semaines d’usage.

2. Le prix affiché n’est pas le prix payé, et Base44 l’écrit. Sa documentation officielle dit qu’« il n’existe aucun montant fixe de crédits par message » et que le coût est « calculé après l’exécution de l’action ». Pour les crédits d’intégration, elle précise : « Il n’existe aucun moyen de prévisualiser le coût en crédits d’une intégration avant d’exécuter une action. » Vous ne pouvez pas connaître le prix avant d’acheter.

3. Les conditions générales font payer au client les erreurs de l’outil. Les crédits consommés quand la sortie est boguée, défectueuse ou hallucinée ne sont « ni restitués, ni recrédités, ni remboursés ». Ce n’est pas un dysfonctionnement : c’est la règle, écrite. Et c’est exactement ce que décrivent les avis négatifs.

Ce que nous avons vérifié, et ce que nous n’avons pas pu vérifier

Pour que ce test soit utilisable, il faut dire d’où vient chaque chiffre.

Ce que nous avons relevé nous-mêmes, le 11 octobre 2026, à la source et non dans une synthèse : le texte exact des promesses sur la page d’accueil de Base44 ; sa grille tarifaire officielle et ce qu’elle affiche réellement ; sa documentation sur les crédits ; sa documentation sur la confidentialité ; ses conditions générales ; son tableau de retours public et sa feuille de route, où l’on voit ce que ses propres utilisateurs demandent et où en est chaque demande ; le relevé public de ses pannes ; et la distribution complète de ses 909 avis Trustpilot.

Ce que nous reprenons à d’autres, en le citant : l’alerte de sécurité de Wiz Research de juillet 2025 ; le relevé de Veracode sur le code produit par intelligence artificielle ; le test francophone de huit semaines publié par Impli, qui est à notre connaissance la seule mesure chronométrée en français ; les notes de Product Hunt, Capterra et G2.

Ce que nous n’avons pas pu vérifier, et que nous ne présenterons donc pas comme établi. Les discussions Reddit, très citées dans les articles sur Base44, ne nous sont pas accessibles : nous ne reprendrons aucun chiffre qui en viendrait de seconde main. Nous n’avons pas pu ouvrir la fiche Capterra directement et en reprenons les chiffres via une synthèse. Nous n’avons trouvé aucune table officielle du coût en crédits par action : les valeurs qui circulent (environ 0,5 crédit pour une retouche visuelle, 3 à 4 pour une modification de toute l’application) sont attribuées à la documentation par des guides tiers, et nous n’avons pas pu les lire sur la page officielle. Enfin, nous n’avons pas audité le code produit par Base44 : les relevés de sécurité cités portent sur le code généré par IA en général, pas sur cette plateforme en particulier.

Nous l’avons utilisé. Ce que nous y avons constaté rejoint ce que décrivent les avis : la première application sort vite et impressionne, et la facture devient imprévisible dès que l’outil se trompe.

Ce que Base44 promet, mot pour mot

Il faut lire la promesse avant de la juger. Voici ce que la page d’accueil affichait le 11 octobre 2026.

« Every builder needs a base. » — Tout bâtisseur a besoin d’une base.

« Turn any idea into a fully functional app — with backend, auth, payments, and hosting already built in. » — Transformez n’importe quelle idée en une application pleinement fonctionnelle, avec serveur, authentification, paiements et hébergement déjà intégrés.

« No setup, no engineers, no waiting. » — Aucune installation, aucun ingénieur, aucune attente.

« Ship something real with vibe coding — without touching a server, wiring up a payment provider, or configuring a database. » — Livrez quelque chose de réel, sans toucher à un serveur, sans brancher un prestataire de paiement, sans configurer de base de données.

« User management and authentication are built in. » — La gestion des utilisateurs et l’authentification sont intégrées.

« Build a website for any need. AI-generated design, custom domain, built-in SEO tools — ready to go live from day one. » — Design généré par IA, domaine personnalisé, outils de référencement intégrés, prêt à être mis en ligne dès le premier jour.

« Base44 is an AI platform for building fully functioning apps in minutes. » / « No code, no integrations, ready to ship on day one and built to grow with you. » — …conçu pour grandir avec vous.

Notez ce qui est promis, parce que nous allons tester chaque élément séparément : la rapidité, l’absence d’installation, l’authentification intégrée, les paiements, le référencement, la livraison dès le premier jour, et la capacité à grandir.

Notez aussi ce qui n’est pas promis, et qui est à l’honneur de l’éditeur : l’expression « production-ready », « prêt pour la production », ne figure pas sur cette page. Base44 dit « ready to ship », prêt à livrer. La nuance compte, et nous y reviendrons.

Enfin, un détail de lecture. La page met en avant un client, Gift My Book, avec trois chiffres : « 1 semaine pour lancer », « 1 million de dollars de revenu annualisé en 3 mois », « 6 à 8 % de conversion ». Ces chiffres sont ceux du client, pas de Base44, et nous n’avons trouvé aucune source indépendante permettant de les vérifier. Un témoignage client en vitrine n’est pas une mesure.

Ce qui est vrai : l’application sort vraiment en quelques minutes

C’est le point où la promesse est tenue, et il faut le dire aussi nettement que le reste.

Le test francophone le plus documenté est celui d’Impli, sur huit semaines d’usage. L’auteur a demandé une application de gestion de projets — quatre écrans, données de démonstration, trois rôles (administrateur, membre, client) — à partir d’une seule consigne détaillée. Résultat : moins de six minutes de l’idée à l’application fonctionnelle, puis dix secondes pour la mise en ligne. Interface, base de données et authentification compris. L’intelligence artificielle a même corrigé seule une erreur React pendant la génération, et un simple « passe en mode sombre » a basculé toute l’application.

Ce n’est pas rien. C’est, littéralement, la promesse.

Les avis positifs décrivent la même chose, et ils sont nombreux : 34 % des 909 avis Trustpilot mettent cinq étoiles. Un utilisateur britannique, The Relief Greenkeeper, écrit le 1er octobre 2026 : « Je viens d’économiser plus de 30 heures de travail par semaine ! » — il avait fait construire une application de facturation pour indépendants, « en deux jours ». Un Australien, Benny Manns, le 14 septembre 2026 : « J’aurais dépensé des milliers si j’avais embauché quelqu’un pour faire la même chose. » Sur Product Hunt, les étiquettes de satisfaction les plus fréquentes sont « plateforme sans code » (15 fois), « maquettage rapide » (13), « facile à utiliser » (9).

Et sur les trois plateformes professionnelles, les notes sont correctes : 4,4 sur Product Hunt, 3,8 sur G2, 3,3 sur Capterra. Des échantillons minuscules, mais pas hostiles.

Alors d’où vient le 2,8 sur 909 ?

Le chiffre qui renverse tout : 4,4 sur 41, 2,8 sur 909

Voici la mesure la plus importante de ce test, et elle ne demande aucun outil : il suffit de comparer les échantillons.

PlateformeNoteNombre d’avisPublic
Product Hunt4,4 / 541communauté technique, créateurs précoces
G2≈ 3,8 / 54logiciel professionnel
Capterra3,3 / 53logiciel professionnel
Trustpilot2,8 / 5909grand public, clients facturés

La note ne baisse pas parce que le produit s’est dégradé. Elle baisse parce que l’échantillon change de nature. Product Hunt recueille l’avis de gens qui testent des outils par goût, savent ce qu’est un jeton, abandonnent un essai sans drame. Trustpilot recueille l’avis de gens qui ont donné un numéro de carte.

Et la distribution des 909 avis le dit encore plus clairement :

5 étoiles4321 étoile
34 %3 %4 %6 %53 %

87 % des avis sont aux deux extrêmes. Seulement 13 % au milieu. Ce n’est pas la signature d’un produit médiocre — un produit médiocre produit une bosse autour de 3. C’est la signature d’un produit qui fonctionne parfaitement ou ruine son utilisateur, sans entre-deux.

L’explication est dans le système de crédits, et nous y arrivons.

Le vrai prix : trois phrases de la documentation de Base44

La grille tarifaire officielle, relevée le 11 octobre 2026, affiche cinq forfaits :

ForfaitPrix affichéCrédits de message / moisCrédits d’intégration / moisCe qui manque
Gratuit0 $25 (5 par jour maximum)1005 applications maximum, pas de domaine personnalisé
Starter16 $/mois1002 000pas de choix du modèle d’IA, pas d’intégration GitHub
Builder40 $/mois25010 000pas d’accès aux versions d’essai, pas de support prioritaire
Pro80 $/mois50020 000pas de support prioritaire
Elite160 $/mois1 20050 000—

Premier constat, en regardant simplement la page : elle n’affiche que les tarifs en facturation annuelle. Le prix mensuel n’y figure pas. Sa foire aux questions indique que l’annuel fait économiser 20 %, ce qui implique un mensuel autour de 20, 50, 100 et 200 dollars — mais il faut le déduire soi-même. La page qui vous vend un abonnement ne vous montre pas le prix de l’abonnement mensuel.

Deuxième constat, et c’est le cœur du sujet. Les crédits ne sont pas une monnaie dont vous connaissez le taux. Voici ce qu’écrit la documentation officielle de Base44, mot pour mot :

« There is no set credit amount used per message. » — Il n’existe aucun montant fixe de crédits par message.

Le coût est « calculated after the action runs ». — calculé après l’exécution de l’action.

« There is no way to preview an integration credit cost before running an action. » — Il n’existe aucun moyen de prévisualiser le coût en crédits d’une intégration avant d’exécuter une action.

Mettez ces trois phrases ensemble : vous commandez sans connaître le prix, et le prix est fixé après livraison, par le vendeur. Dans n’importe quel autre commerce, cette phrase arrêterait la vente.

Troisième constat : les crédits non utilisés sont perdus. La documentation : « vos crédits se renouvellent automatiquement selon un calendrier défini, et tous les crédits que vous n’avez pas utilisés expirent au moment de ce renouvellement ». Les crédits offerts et les recharges ne se reportent jamais. Vous payez donc une capacité que vous perdez si vous ne la consommez pas, et qui s’arrête net si vous la consommez trop vite : « lorsque vous atteignez votre limite de crédits, les actions qui consomment des crédits sont suspendues jusqu’au prochain renouvellement ».

Un avis résume la conséquence mieux qu’un paragraphe. Mark, en France, deux étoiles, le 17 septembre 2026 : « Je me retrouve maintenant avec une fonction inutilisable pendant encore un mois, jusqu’au renouvellement de mes crédits. »

Payer pour faire réparer les erreurs de l’outil

C’est le reproche qui revient le plus, dans toutes les langues. Et il ne relève pas d’un défaut : il est inscrit dans le contrat.

Les conditions générales de Base44 stipulent que les crédits consommés lorsque la sortie est défectueuse, boguée ou hallucinée ne seront ni restitués, ni recrédités, ni remboursés, et que l’utilisateur n’a aucun droit à remboursement ou à crédit pour les erreurs ou les interruptions. La documentation de facturation ajoute : « Credits are non-refundable for tool behavior and AI mistakes » — les crédits ne sont pas remboursables pour le comportement de l’outil et les erreurs de l’IA.

Lisez maintenant les avis, en gardant cette phrase en tête.

Daniel Harter, trois étoiles, le 14 septembre 2026, en français : « Devoir payer pour faire corriger les bugs générés par le développement de l’IA et par ces mauvaises interprétations. »

GUEN, une étoile, le 12 septembre 2026 : « Et quand vous voulez résoudre ceux-ci avec le tchat, ils vous décomptent abusivement des crédits. »

Bob, au Royaume-Uni, une étoile, mis à jour le 23 septembre 2026, avec des chiffres : « Sur le premier jeu, j’ai utilisé 70 crédits. Sur celui-ci, cassé, j’en suis à 148 crédits. » Soit, sur un forfait Builder à 250 crédits mensuels, 59 % du mois consommés par une seule application défaillante.

Lionel, en Afrique du Sud, une étoile, le 7 septembre 2026 : « Quel mauvais service ! Ils ont gaspillé tellement d’argent, et le logiciel se bloque, prend tellement de crédits. » Il mentionne avoir payé « des crédits doubles pour des répétitions ».

Ambre Miron, une étoile, le 23 avril 2026 : « Les crédits de messages sont un scam monumental : pleins de magouilles pour que finalement un message coûte 2-3 crédits. »

Et sur Product Hunt — la plateforme qui met 4,4 sur 5 — Nolan Vu : « Le forfait gratuit est brutal. 25 crédits de message par mois, 5 par jour maximum, et vous les épuiserez juste en retouchant l’interface. »

Le point décisif n’est pas que des utilisateurs se plaignent. C’est que ce dont ils se plaignent est la politique écrite de l’éditeur, et que l’éditeur la connaît. Nous y venons.

Le parcours d’un utilisateur ordinaire, reconstitué à partir d’avis réels

Avertissement de méthode, parce qu’il compte plus que le récit. Ce qui suit n’est pas un témoignage, et ce n’est pas notre relevé de consommation. C’est un parcours reconstitué : chaque chiffre vient d’un avis public, daté, signé, et nous nommons sa source à chaque étape. Nous l’assemblons parce qu’un avis, pris seul, ne montre qu’un morceau du trajet — et que c’est le trajet complet qui décide de votre facture. Rien n’y est inventé. Rien n’y est présenté comme une mesure que nous aurions faite nous-mêmes.

Jour 1 — le forfait gratuit, et l’effet de sidération. Vous décrivez votre idée en français. L’application sort : quatre écrans, une base de données, des données de démonstration, trois rôles d’utilisateur. Moins de six minutes, puis dix secondes pour la mise en ligne (test chronométré d’Impli, huit semaines d’usage). C’est à cette minute précise que se décident les 34 % d’avis à cinq étoiles, et ils sont mérités. Puis vous voulez corriger trois détails d’interface. Le forfait gratuit donne 25 crédits de message par mois, plafonnés à 5 par jour. Nolan Vu, sur Product Hunt — la plateforme qui note l’outil 4,4 sur 5 — : on les épuise « juste en retouchant l’interface ».

Jour 2 — le choix du forfait, et le premier piège. Vous prenez celui qui est affiché en vitrine, Starter à 16 dollars. Il n’inclut ni fonctions dorsales, ni choix du modèle d’IA, ni export GitHub. Pour un projet qui doit faire quelque chose, le premier forfait réellement utilisable est Builder : 40 dollars par mois, et comme la page n’affiche que le tarif annuel, cela veut dire 480 dollars engagés d’un coup. Vous venez de payer un an pour un outil que vous utilisez depuis la veille.

Semaine 1 — la boucle. L’application marche à 80 %. Les 20 % restants sont un bogue que l’IA dit avoir corrigé, et qui revient. Vous relancez. Chaque relance compte, les tentatives infructueuses comptent aussi, et les conditions générales prévoient que ces crédits-là ne sont pas remboursés. Le seul chiffre précis publié par un utilisateur, Bob, au Royaume-Uni, le 23 septembre 2026 : « Sur le premier jeu, j’ai utilisé 70 crédits. Sur celui-ci, cassé, j’en suis à 148 crédits. » Sur un forfait Builder à 250 crédits, une seule application défaillante a mangé 59 % du mois. Un autre avis rapporte un simple changement d’icône facturé 100 crédits.

Semaine 2 — le mur, puis l’attente. Deux issues, toutes deux documentées. Soit le projet grossit et vous rencontrez « Context window exceeded. It seems like your project is too large » — un utilisateur du tableau de retours de l’éditeur rapporte ce blocage après cinq messages. Soit les crédits sont épuisés, et alors il ne se passe plus rien : « lorsque vous atteignez votre limite, les actions qui consomment des crédits sont suspendues jusqu’au prochain renouvellement. » Mark, en France, le 17 septembre 2026 : « Je me retrouve maintenant avec une fonction inutilisable pendant encore un mois, jusqu’au renouvellement de mes crédits. » Vous avez payé un an, et vous attendez trois semaines.

Le support, et il faut le dire dans les deux sens. Le testeur d’Impli écrit que « le support client est quasi inexistant » et cite des délais de 10 à 15 jours sur des problèmes bloquants. Tib, en France, le 27 juillet 2026 : « le moteur IA hallucine régulièrement, le support est inutile que des excuses et jamais mais jamais un geste commercial. » Mais Connor Dewulf, le 17 septembre 2026 : « Excellent service client, réactif, très serviable et compréhensif », et Sean Martin, le même jour, nomme la personne qui l’a aidé. L’éditeur répond à 54 % des avis négatifs, en général sous 48 heures. Le support n’est pas absent : il est inégal, et vous ne savez pas à l’avance de quel côté vous tomberez.

Si vous décidez de partir. L’export est réservé au forfait Builder et au-delà — donc vous ne pouvez pas récupérer votre code depuis le forfait affiché en vitrine. Il vous rend la façade, pas le serveur, pas la base, pas les secrets. La synchronisation va dans un seul sens, et après l’avoir branchée, l’historique antérieur n’est plus restaurable.

Et la facture, qui est le vrai sujet. Justin Waters, États-Unis, 8 septembre 2026 : « Il vient de prélever plus de 650 dollars sur mon compte sans me montrer le coût ni me demander confirmation. » Shirl Bain, Australie, 7 septembre 2026 : « un an plus tard, ils ont prélevé 640 dollars australiens sur mon compte », après résiliation selon elle. Teresa Spates, 2 septembre 2026 : « ils rendent presque impossible la suppression du compte, pour continuer à vous facturer. » Laecio D., Brésil, 16 septembre 2026 : « Le prélèvement a échoué 9 fois », et son forfait annuel payé a été annulé, le laissant environ trois mois sur le forfait gratuit.

Ce qu’un projet ordinaire coûte réellement

ÉtapeCe que vous payezD’où vient le chiffre
Essai0 $ — 25 crédits, 5 par jourgrille officielle
Premier vrai forfait480 $ engagés (Builder, 40 $/mois au tarif annuel)grille officielle, qui n’affiche que l’annuel
Un bogue que l’IA n’arrive pas à corrigerjusqu’à 59 % du moisBob, 23/09/2026 : 148 crédits contre 70
Une retouche mal comprisejusqu’à 100 créditsavis Trustpilot, changement d’icône
Crédits épuisés avant la fin du moisattente, jusqu’à 3 semainesMark, 17/09/2026 + documentation officielle
Crédits non consommésperdusdocumentation : ils « expirent au renouvellement »
Sortir son codeforfait Builder minimumdocumentation : export réservé à Builder et au-delà
Erreurs de l’outilà votre chargeconditions générales : ni restitués, ni remboursés

Ce que ce parcours démontre, et c’est tout l’article : personne n’est trompé sur ce que fait l’outil. Les gens sont surpris par ce qu’il coûte — parce que le coût dépend du nombre de fois où l’outil se trompe, et que ce nombre, personne ne peut l’annoncer à l’avance. Pas même l’éditeur, qui écrit noir sur blanc que le montant est « calculé après l’exécution de l’action ».

Ce que le tableau de retours de Base44 dit de Base44

Base44 publie un tableau de retours et une feuille de route en accès libre. C’est à son honneur : peu d’éditeurs exposent ainsi ce qu’on leur reproche. Et c’est, pour ce test, la pièce la plus utile, parce qu’elle vient de l’éditeur et de ses propres clients.

Relevé le 11 octobre 2026 : 100 demandes ouvertes (74 fonctionnalités, 20 améliorations, 6 rapports de bogue), 29 éléments livrés, 21 en cours, 20 prévus.

Parmi les demandes ouvertes, en examen, voici celles qui recoupent exactement ce que décrivent les avis :

  • « Protect users from credit consumption during builder error loops » — protéger les utilisateurs de la consommation de crédits pendant les boucles d’erreur du constructeur. En examen. Les clients de Base44 demandent officiellement à ne plus payer les erreurs de Base44.
  • « Pay as you go Credits, I’m bored waiting a month » — des crédits à la consommation, j’en ai assez d’attendre un mois.
  • « Private app uploads remain accessible through unauthenticated direct file URLs » — classé bogue, en examen depuis deux semaines. Les fichiers envoyés dans une application privée resteraient accessibles par URL directe sans authentification.
  • « Rate limiting / lockout for failed logins and OTP resend » — limitation du débit et blocage après échecs de connexion et renvois de code. En examen. Retenez cette demande : nous y revenons dans la section sécurité.
  • « Prevent new user account on App Login screen » — empêcher la création de comptes depuis l’écran de connexion de l’application. En examen.
  • « Allow app builders to select the database region as required by local law » — permettre de choisir la région de la base de données, comme l’exige la loi locale. En examen.
  • « file storage in the UK not the US for uploaded images and documents » — en examen. Même demande pour les serveurs australiens et indiens.
  • « Make Base44 Apps Findable: Fix Prerendering for Data-Driven Pages » — rendre les applications Base44 trouvables : corriger le pré-rendu des pages pilotées par les données. En examen. La page d’accueil promet des « outils de référencement intégrés ».
  • « Allow editing the subject line (and language) of built-in auth emails » — permettre de modifier l’objet et la langue des courriels d’authentification intégrés. En examen.

Et pour être juste, voici l’autre moitié du tableau, celle qui dit que l’éditeur travaille vite : parmi les 29 éléments livrés, on trouve « Custom Login » (8 juin), « Security + Testing Pack » (10 juin), les paiements Base44 au Royaume-Uni (11 juin), la prise en charge native des tâches planifiées (1er octobre), et une longue série de modèles ajoutés — Sonnet 5.5, Opus 5.5, GPT 6 Astra. Base44 livre beaucoup, et rapidement.

C’est la comparaison des deux colonnes qui est instructive. Ce qui est livré, ce sont surtout des modèles neufs et des capacités nouvelles — ce qui se vend. Ce qui reste « en cours » ou « prévu », ce sont les fondations dont un professionnel européen a besoin :

  • « We need EU-Hosting » — en cours. 10 votes, 12 commentaires.
  • « Base44 payments - EU » — en cours. 33 votes. Les paiements Base44 sont livrés au Royaume-Uni depuis le 11 juin ; la version pour l’Union européenne est encore en chantier. Un utilisateur français qui veut encaisser passe donc par un prestataire externe — alors que la page d’accueil promet de livrer « sans brancher un prestataire de paiement ».
  • « Customized login/sign-up modal » — en cours, 5 votes et 167 commentaires. L’un des sujets les plus commentés du tableau.
  • « Customize the invitation email of users to my app » — seulement prévu, avec 19 votes et 199 commentaires.
  • « Support for Tracking Pixels (Meta Pixel, GTM, Google Analytics) » — seulement prévu.

Autrement dit : la vitesse de l’éditeur va aux fonctionnalités qui attirent, pas à la plomberie qui permet de livrer en Europe.

« Authentification intégrée » : ce que Wiz a trouvé

La page d’accueil promet : « User management and authentication are built in. » C’est vrai. Et c’est précisément ce qui a posé problème.

Le 9 juillet 2025, les chercheurs de Wiz signalent à Wix et Base44 un contournement d’authentification critique. Le mécanisme est d’une simplicité désarmante : deux points d’entrée de l’interface de programmation étaient exposés sans aucune restriction —

  • api/apps/{app_id}/auth/register
  • api/apps/{app_id}/auth/verify-otp

— et l’identifiant d’application, app_id, n’est pas un secret : il est visible dans l’adresse de l’application et dans le chemin de son fichier manifest.json. Il suffisait donc de connaître l’adresse d’une application privée pour y créer un compte, le valider soi-même par code à usage unique, puis se connecter. Wiz écrit que la faille « contournait effectivement tous les contrôles d’authentification fournis par Base44, y compris l’authentification unique ».

Wiz a confirmé que la méthode fonctionnait sur de vraies applications d’entreprise : agents conversationnels internes, bases de connaissances, et « opérations de données personnelles et de ressources humaines ».

À la décharge de Wix : le correctif a été déployé en moins de 24 heures, vérifié par Wiz le 10 juillet, confirmé résolu le 13 juillet, publié le 29 juillet. Wix déclare n’avoir « trouvé aucune preuve qu’un client ait été affecté ». Aucun numéro CVE n’a été attribué. La réaction a été rapide et correcte.

Ce qui reste, c’est la leçon. Quand l’authentification est « intégrée », elle n’est pas sous votre contrôle : vous héritez de la sécurité de la plateforme, bonne ou mauvaise, sans pouvoir l’auditer ni la corriger. Et c’est là que la lecture du tableau de retours prend un autre relief : trois demandes encore en examen en octobre 2026 portent sur ce même terrain — l’absence de limitation après échecs de connexion et renvois de code à usage unique (soit exactement le point d’entrée exploité en 2025), l’impossibilité d’empêcher la création de comptes depuis l’écran de connexion, et un bogue signalant que les fichiers d’applications privées resteraient joignables sans authentification.

Pour le contexte, et parce qu’il serait malhonnête d’en faire un procès propre à Base44 : le relevé de Veracode sur plus de 100 modèles de langage et 80 tâches de programmation trouve que 45 % des codes produits par intelligence artificielle échouent aux tests de sécurité, avec 86 % d’échec sur la protection contre l’injection de script et 88 % sur l’injection de journaux. Sa mise à jour de mars 2026 constate un taux de réussite inchangé, autour de 55 %, alors que les performances de programmation progressaient. Le problème est celui de la méthode, pas d’une marque.

Vos données partent aux États-Unis, et peuvent entraîner des modèles

Ce point n’est mentionné nulle part sur la page d’accueil, et il est décisif pour un usage professionnel en France.

La documentation officielle de Base44, dans sa version française, écrit : « Tous les serveurs Base44 sont actuellement situés aux États-Unis. » Les données de tous les espaces de travail y sont stockées par défaut. Les forfaits Enterprise peuvent obtenir un stockage en Europe ou au Royaume-Uni, mais la page précise que cette localisation gouverne l’endroit où les données sont stockées, pas celui où elles sont traitées, et que les fichiers médias, les données de compte et les informations de facturation restent aux États-Unis.

Et surtout, sur l’entraînement des modèles, la même page distingue deux cas :

  • forfait Enterprise : « vos données ne sont pas utilisées pour entraîner des modèles d’IA » ;
  • tous les autres forfaits, y compris Business : « vos données peuvent être utilisées pour entraîner des modèles d’IA ».

La page indique qu’il n’existe aucun réglage pour s’y opposer. L’exclusion est automatique pour Enterprise, et seulement pour lui.

Ce que cela implique concrètement, si vous traitez des données de personnes résidant dans l’Union européenne : le transfert hors Espace économique européen doit être encadré (clauses contractuelles types, accord de sous-traitance), documenté dans votre registre des traitements, et vous devez informer les personnes concernées. Pour des données de santé, bancaires ou administratives, un hébergement américain est en général incompatible avec les exigences habituelles. Et vous devez intégrer au raisonnement que, sous le forfait courant, le contenu peut servir à entraîner des modèles.

À l’actif de l’éditeur : il annonce une conformité SOC 2 Type II et une certification ISO 27001, et la demande « We need EU-Hosting » est classée en cours sur sa feuille de route. Ce n’est pas ignoré. Ce n’est pas livré.

Plus de 37 pannes en un an, presque jamais reconnues

« Built-in hosting — when your app is ready, it’s instantly live and shareable », promet la page d’accueil. Hébergement intégré, application instantanément en ligne et partageable.

Le relevé public de StatusGator, qui surveille Base44 depuis mars 2025, compte plus de 37 interruptions affectant les utilisateurs sur un an. Les dix incidents détaillés sur sa page :

DateDuréeSymptômeReconnu officiellement
20 août 20261 h 23site et application ne chargent pasjamais
1er août 20261 h 18erreur 503 sur les applications web et d’administrationjamais
27 juillet 202625 minapplications ne chargent pasjamais
27 juillet 202619 minlenteurs, pages ne chargent pasjamais
24 juillet 202630 minerreurs de connexion au serveurjamais
6 juillet 202629 minapplication ne charge pas, lenteursjamais
18 juin 202654 minserveur dorsal ne répond pasjamais
17 juin 202628 minl’agent conversationnel ne répond plusjamais
2 juin 202641 minsite et constructeur inaccessiblesnon précisé
26 mai 202638 mininterruption de servicejamais

Neuf des dix incidents n’ont jamais été reconnus sur la page d’état officielle. C’est le point à retenir : pas la durée des pannes, qui reste modeste, mais le fait que si votre application cliente est tombée pendant une heure et vingt-trois minutes un jeudi après-midi d’août, vous n’avez eu aucune page officielle à montrer à votre client.

Pour information, au 11 octobre 2026, Base44 fonctionne normalement.

Sortir : ce que l’export vous rend, et ce qu’il garde

« Built to grow with you », conçu pour grandir avec vous. La vraie question est : grandir où ?

L’export vers GitHub existe, mais il faut comprendre ce qu’il contient. Les sources concordent sur l’essentiel : il vous rend la façade — composants React ou Vue, logique d’interface, état côté client — et, selon certaines, le code source de vos fonctions dorsales et un fichier de schéma. Ce qu’il ne rend pas : la bibliothèque @base44/sdk elle-même, la base de données, et surtout la possibilité d’exécuter le code sans réécrire chaque appel au kit de développement. Les secrets ne suivent pas : les identifiants utilisés par vos fonctions restent chez l’éditeur et doivent être réémis ailleurs.

Trois contraintes pratiques à connaître avant de commencer, et non après :

  1. L’export est payant. La documentation réserve la synchronisation GitHub au forfait Builder (40 $/mois au tarif annuel) et au-delà. Le forfait Starter, celui dont le prix est affiché en vitrine, ne l’inclut pas. Sur le forfait gratuit et Starter, il reste la copie manuelle, fichier par fichier.
  2. La synchronisation est à sens unique : on pousse de Base44 vers GitHub, on ne réimporte pas de GitHub vers l’éditeur.
  3. Le branchement est difficile à défaire. La page d’intégration de l’éditeur indique qu’après avoir connecté GitHub, l’historique des versions antérieures à cette connexion n’est plus restaurable, et qu’après une déconnexion, on ne peut pas se reconnecter au même dépôt.

En clair : vous pouvez récupérer votre code. Vous ne pouvez pas récupérer votre application en état de marche sans reconstruire le serveur, les données, l’authentification et les secrets — c’est-à-dire sans un développeur.

Le plafond : « votre projet est trop gros »

Il y a une limite à la croissance, et elle a un message d’erreur. Sur le tableau de retours de Base44, un utilisateur rapporte : « Context window exceeded. It seems like your project is too large. » — fenêtre de contexte dépassée, votre projet semble trop volumineux. Le même utilisateur indique que son application s’est bloquée après seulement cinq messages. La demande, intitulée « Upgrade context window limit », est en examen.

Nous n’avons trouvé aucune documentation officielle sur ce plafond, ni aucun chiffre confirmé sur la taille maximale d’un projet, ni confirmation qu’un forfait supérieur le relève. Les contournements qui circulent — ouvrir une nouvelle conversation par fonctionnalité, découper les fichiers de plus de 400 lignes, sortir les gros remaniements vers un éditeur local — viennent de guides tiers et ne sont pas vérifiés.

Ce qui est sûr, c’est la forme du mur : il existe, il n’est pas documenté, et il arrive quand votre application commence à devenir sérieuse. C’est précisément l’inverse de « conçu pour grandir avec vous ».

Les contraintes dont personne ne parle avant l’achat

Trois points que nous n’avons vus sur aucune page de vente, et qui comptent pour un lecteur francophone.

L’écran de connexion et les courriels d’authentification. « Custom Login » a été livré le 8 juin 2026 : la personnalisation de la connexion existe. Mais la demande « Customized login/sign-up modal » reste en cours avec 167 commentaires, celle qui réclame de pouvoir modifier l’objet et la langue des courriels d’authentification intégrés est en examen, et celle qui demande de personnaliser le courriel d’invitation est seulement prévue — avec 199 commentaires. Si votre application s’adresse à un public francophone, vérifiez la langue de ces messages automatiques avant de promettre une date à un client.

Le référencement. La page d’accueil promet des « outils de référencement intégrés ». Sur le tableau de l’éditeur, une demande en examen s’intitule « rendre les applications Base44 trouvables : corriger le pré-rendu des pages pilotées par les données ». Si votre projet dépend de sa visibilité dans les moteurs, c’est à tester avant de s’engager, pas après.

La facturation après résiliation. C’est le reproche le plus grave parce qu’il porte sur de l’argent prélevé. Shirl Bain, en Australie, une étoile, 7 septembre 2026 : « un an plus tard, ils ont prélevé 640 dollars australiens sur mon compte » — après résiliation selon elle. Jamie Crum, États-Unis, une étoile, 18 septembre 2026 : « Ils continuent de facturer après résiliation » — Base44 a répondu qu’un remboursement avait été émis. Teresa Spates, 2 septembre 2026 : « ils rendent presque impossible la suppression du compte, pour continuer à vous facturer. » Laecio D., Brésil, 16 septembre 2026 : « Le prélèvement a échoué 9 fois », et son forfait Starter annuel payé a été annulé, le laissant environ trois mois sur le forfait gratuit. Sur Capterra, l’avis une étoile s’intitule « Glorified demo with broken cancellation and ghost subscriptions » — démonstration glorifiée, résiliation cassée et abonnements fantômes — et décrit deux abonnements parallèles sur deux espaces de travail du même compte, facturés sur la même carte.

Deux choses à savoir, et elles sont utiles. D’abord, résilier dans l’application, jamais par courriel : plusieurs utilisateurs rapportent des prélèvements poursuivis après une demande envoyée par message. Ensuite, si vous êtes dans l’Union européenne, vous disposez d’un droit de rétractation de quatorze jours sur un nouvel abonnement souscrit à distance, et les conditions générales de l’éditeur renvoient explicitement au droit local impératif. C’est votre meilleur recours, et il est limité dans le temps : ne laissez pas passer les quatorze jours en espérant que ça s’arrange.

À l’inverse, et pour être complet : 34 % des avis mettent cinq étoiles, et plusieurs saluent précisément le service client. Connor Dewulf, 17 septembre 2026 : « Excellent service client, réactif, très serviable et compréhensif. » Sean Martin, le même jour, cite même son interlocuteur par son prénom. Base44 répond à 54 % des avis négatifs, en général sous 48 heures. Le support n’est pas absent ; il est inégal.

Ce qu’il faut savoir faire pour que ça marche

C’est la question que Base44 ne pose pas, puisqu’il promet « aucun ingénieur ». Voici, d’après tout ce qui précède, ce qu’il faut réellement savoir pour que l’outil tienne sa promesse.

Pour maquetter — quasiment rien. Savoir décrire précisément ce que vous voulez. Les six minutes sont réelles. C’est le bon usage de l’outil, et il est excellent.

Pour ne pas brûler vos crédits — quatre réflexes. Utiliser le mode « discuter » plutôt que « construire » quand vous réfléchissez : il est nettement moins cher. Faire les retouches visuelles à la main dans l’éditeur, où elles ne coûtent rien, plutôt qu’en demandant à l’IA. Écrire des consignes courtes et ciblées, parce que la documentation elle-même indique qu’une consigne large touchant plusieurs écrans coûte davantage. Et ouvrir une nouvelle conversation par fonctionnalité, au lieu de laisser une discussion s’allonger jusqu’au mur de contexte.

Pour mettre en production — un vrai développeur. Pas pour écrire le code : pour auditer l’authentification et les permissions, vérifier qu’aucun fichier privé n’est joignable sans authentification, brancher un prestataire de paiement parce que les paiements Base44 ne couvrent pas encore l’Union européenne, et reprendre le serveur si vous devez un jour partir. Les 45 % d’échec aux tests de sécurité relevés par Veracode sur le code produit par IA ne sont pas une opinion sur Base44 : ils disent que le code généré se relit.

Pour être en règle — savoir lire un contrat. Hébergement aux États-Unis, données susceptibles d’entraîner des modèles hors forfait Enterprise sans possibilité de refus, transferts hors Espace économique européen à encadrer. Si vous manipulez des données de clients européens, ce n’est pas optionnel.

C’est la vraie réponse à « sans connaissance technique » : pour faire une maquette, c’est vrai. Pour livrer un outil dont dépend une entreprise, c’est faux.

Combien ça coûte vraiment

Rassemblons les chiffres, sans en inventer aucun.

Le forfait gratuit n’est pas un forfait, c’est un essai. 25 crédits de message par mois, 5 par jour maximum, 100 crédits d’intégration, 5 applications. L’utilisateur de Product Hunt le dit sans détour : on les épuise « juste en retouchant l’interface ».

Le forfait affiché à 16 dollars n’inclut pas la sortie. Pas d’intégration GitHub, pas de choix du modèle d’IA, pas de fonctions dorsales. Le premier forfait réellement utilisable pour un projet sérieux est Builder, à 40 dollars par mois en facturation annuelle, soit 480 dollars engagés d’un coup.

Le coût réel dépend du nombre de fois où l’outil se trompe, et c’est vous qui payez. Le seul chiffre d’utilisateur précis que nous ayons pu lire : 148 crédits consommés sur une application défaillante, contre 70 sur une application qui marchait — 59 % d’un mois Builder pour une seule application cassée. Le testeur d’Impli l’écrit d’une phrase que nous ne pouvons pas améliorer : « vous ne payez pas pour des fonctionnalités avancées, mais pour compenser l’inefficacité de l’outil. »

Et chez les concurrents ? Les tarifs d’entrée sont voisins — Lovable à 25 dollars par mois, Bolt autour de 20 à 25, Replit autour de 20 — mais les compteurs diffèrent, et c’est le compteur qui décide de la facture. Bolt facture des jetons bruts et reporte les jetons non utilisés ; Lovable facture des crédits pondérés par tâche, avec report également ; Replit facture des points de contrôle avec un prix à l’effort. Base44, lui, ne reporte rien. Pour un usage irrégulier, c’est une différence qui compte plus que le prix affiché.

Notre verdict Le Recul

Promesse partiellement tenue.

Ce que Base44 promet de faire, il le fait : une application fonctionnelle, avec base de données, authentification et hébergement, sort en quelques minutes d’une consigne en langage courant. C’est réel, c’est mesuré, et c’est remarquable. Les 34 % d’avis à cinq étoiles ne sont pas des faux : ce sont des gens dont le projet est entré dans les crédits.

Ce qui n’est pas tenu, c’est le prix. Non parce qu’il serait élevé — 40 dollars par mois pour un outil métier est bon marché — mais parce qu’il n’est pas connaissable. La documentation de l’éditeur dit qu’aucun montant fixe n’est associé à un message, que le coût est calculé après l’action, et qu’aucune prévisualisation n’est possible. Ses conditions générales disent que les crédits brûlés par ses propres erreurs ne sont pas remboursés. Ses clients ont déposé sur son tableau public une demande pour ne plus payer ses boucles d’erreur : elle est en examen.

C’est là que se trouve l’écart entre 4,4 sur 41 avis et 2,8 sur 909. Pas dans la qualité du produit. Dans qui encaisse l’erreur.

Notre position, utilisable : Base44 est un excellent outil de maquette et un bon outil interne pour un usage où la panne n’est pas grave. Ce n’est pas, en octobre 2026, une plateforme sur laquelle poser un outil dont dépend un chiffre d’affaires ou des données personnelles de clients européens — sauf si vous avez un développeur pour relire, un prestataire de paiement externe, et la place dans votre budget pour les mois où l’outil se trompe.

La phrase la plus honnête sur Base44 a été écrite par le testeur d’Impli après huit semaines : « excellent outil de prototypage rapide, mais un mauvais choix pour la production ». Rien dans ce que nous avons relevé ne la contredit.

Pour mémoire : Base44 ne promet pas « production-ready ». Il promet « ready to ship ». La différence, en français, n’est pas une nuance de traduction — c’est tout l’article.

Si vous voulez essayer sans vous faire mal

Six précautions, toutes déductibles de ce qui précède.

  1. Commencez par le forfait gratuit, en sachant qu’il sert à voir l’outil, pas à construire : 5 crédits par jour.
  2. Mesurez votre propre consommation sur un petit projet avant de payer un an. Il n’existe aucune table du coût par action : le seul chiffre fiable sera le vôtre.
  3. Payez au mois d’abord, jamais l’année directement. La page n’affiche que l’annuel : cherchez le mensuel.
  4. Notez la date de souscription. Dans l’Union européenne, vous avez quatorze jours pour vous rétracter.
  5. Résiliez dans l’application, et vérifiez le prélèvement suivant sur votre relevé bancaire.
  6. Avant de mettre quoi que ce soit de sensible dedans, relisez la section sur l’hébergement : serveurs aux États-Unis, et données susceptibles d’entraîner des modèles hors forfait Enterprise.

Et si votre projet doit durer : faites relire l’authentification et les permissions par quelqu’un qui sait ce qu’il lit. L’alerte de juillet 2025 n’a pas été trouvée par un utilisateur.

Questions fréquentes

Base44, c’est quoi ?

Une plateforme de vibe coding : on décrit une application en langage courant, une intelligence artificielle l’écrit, l’héberge et la met en ligne, avec base de données, authentification et hébergement intégrés. Fondée en janvier 2025 par Maor Shlomo, rachetée par Wix en juin 2025 pour 80 millions de dollars au comptant plus des compléments en 2029. Elle reste exploitée sous sa propre marque.

Est-ce que Base44 est gratuit ?

Il existe un forfait gratuit, mais c’est un essai, pas un forfait d’usage : 25 crédits de message par mois avec un plafond de 5 par jour, 100 crédits d’intégration, 5 applications maximum, et pas de domaine personnalisé. Un utilisateur de Product Hunt, sur une plateforme qui note l’outil 4,4 sur 5, résume : on les épuise « juste en retouchant l’interface ».

Combien coûte vraiment Base44 ?

Les prix affichés sur la page officielle sont ceux de la facturation annuelle : 16, 40, 80 et 160 dollars par mois. Le tarif mensuel n’est pas affiché ; la foire aux questions indiquant une économie de 20 % à l’année, il se situe autour de 20, 50, 100 et 200 dollars. Mais le prix de l’abonnement n’est pas le coût réel : celui-ci dépend du nombre de crédits consommés, et la documentation de l’éditeur précise qu’aucun montant fixe n’est associé à un message et que le coût est calculé après l’exécution.

Pourquoi les crédits partent-ils si vite ?

Parce que corriger consomme autant que créer. Chaque demande de modification compte, les tentatives infructueuses comptent aussi, et les conditions générales prévoient que les crédits consommés par une sortie boguée ou hallucinée ne sont pas remboursés. Les crédits non utilisés expirent au renouvellement et ne se reportent pas. Pour économiser : mode « discuter » plutôt que « construire », retouches visuelles faites à la main dans l’éditeur, consignes courtes, une conversation par fonctionnalité.

Peut-on récupérer son code et quitter Base44 ?

En partie. L’export rend la façade — interface, composants, logique côté client — et, selon les sources, le code de vos fonctions dorsales. Il ne rend pas la bibliothèque de l’éditeur, la base de données, ni les secrets, et le code exporté ne fonctionne pas sans réécrire les appels au kit de développement. L’export est réservé au forfait Builder et au-delà, la synchronisation GitHub va dans un seul sens, et après connexion l’historique antérieur n’est plus restaurable.

Les données sont-elles hébergées en Europe ?

Non. La documentation officielle écrit que « tous les serveurs Base44 sont actuellement situés aux États-Unis ». Un stockage européen ou britannique existe pour les forfaits Enterprise, mais il ne gouverne que le stockage, pas le traitement, et les médias, données de compte et informations de facturation restent aux États-Unis. Une demande « We need EU-Hosting » est classée « en cours » sur la feuille de route publique.

Mes données servent-elles à entraîner des modèles d’IA ?

Hors forfait Enterprise, oui : la documentation officielle indique que « vos données peuvent être utilisées pour entraîner des modèles d’IA », y compris sur le forfait Business, et qu’il n’existe aucun réglage pour s’y opposer. L’exclusion est automatique uniquement pour Enterprise.

Base44 est-il sûr ?

En juillet 2025, Wiz Research a révélé un contournement d’authentification critique : deux points d’entrée exposés sans restriction permettaient, à partir du seul identifiant public d’une application, de créer un compte et de se connecter à des applications privées d’entreprise, en contournant l’authentification unique. Wix a corrigé en moins de 24 heures et déclare n’avoir trouvé aucune preuve qu’un client ait été affecté. En octobre 2026, trois demandes du même domaine restent « en examen » sur le tableau public de l’éditeur, dont un bogue signalant que les fichiers d’applications privées resteraient joignables sans authentification. Base44 annonce par ailleurs une conformité SOC 2 Type II et une certification ISO 27001.

Peut-on encaisser des paiements depuis la France ?

Pas avec le système de paiement de Base44 en l’état. Les paiements Base44 ont été livrés au Royaume-Uni le 11 juin 2026 ; la version pour l’Union européenne figure encore en « en cours » sur la feuille de route publique, avec 33 votes. Il faut donc passer par un prestataire externe — ce que la page d’accueil promettait d’éviter.

Base44 ou Lovable ?

Les tarifs d’entrée sont proches, mais les compteurs diffèrent, et c’est le compteur qui fait la facture. Lovable facture des crédits pondérés par tâche et les reporte d’un mois sur l’autre ; Bolt facture des jetons et les reporte aussi ; Base44 ne reporte rien et ses crédits expirent au renouvellement. Pour un usage irrégulier, cette seule différence pèse plus que le prix affiché. Nous n’avons pas testé Lovable avec la même rigueur : nous ne le recommanderons pas sur la foi d’une grille tarifaire.

Conclusion — la promesse n’est pas le contrat

Base44 fait ce qu’il annonce. Six minutes, une application qui marche, dix secondes pour la mettre en ligne : c’est vrai, et c’est pour cela que 34 % des avis lui mettent cinq étoiles.

Mais entre la page d’accueil et les conditions générales, il y a un deuxième document, et c’est celui qui décide. Il dit qu’aucun montant fixe n’est associé à un message. Que le coût est calculé après coup. Qu’aucune prévisualisation n’est possible. Que les crédits brûlés par les erreurs de l’outil ne sont pas remboursés. Et que les données, hors forfait le plus cher, peuvent entraîner des modèles sans que vous puissiez vous y opposer.

Rien de tout cela n’est caché : tout est publié par l’éditeur, en accès libre, et c’est à son honneur. Simplement, ce n’est pas écrit sur la page qui vend.

L’écart entre 4,4 sur 41 avis et 2,8 sur 909 ne mesure pas la qualité d’un logiciel. Il mesure la distance entre ceux qui ont essayé un outil et ceux qui ont reçu une facture.

Pour prolonger : nous avons comparé les modèles qui écrivent ce code dans Meilleure IA pour coder : Claude Opus 5.5 contre GPT-6 Sol, et testé la même mécanique de promesse chiffrée dans Détecteurs de texte IA : ce que valent vraiment les 99 % de fiabilité promis. Sur les agents censés travailler seuls, voir Codex contre Cowork : qui travaille vraiment tout seul sur votre PC Windows ?.