Ce qu'il ne faut jamais faire

Coder avec l'IA donne vite un sentiment de puissance. C'est justement là que se glissent les erreurs qui coûtent cher. Voici celles qu'on voit le plus souvent chez les débutants, et comment les éviter.

1. Mettre un secret dans le code

Une clé d'API (le code qui donne accès à un service payant, comme un modèle d'IA ou un envoi de SMS), un mot de passe de base de données, un identifiant : rien de tout ça ne doit apparaître dans le code d'une page web ni dans un fichier publié en ligne. Tout ce qui est dans une page web peut être lu par n'importe quel visiteur, et des robots fouillent en permanence les dépôts de code publics à la recherche de clés oubliées. Une clé trouvée peut être utilisée à vos frais.

• Rangez les secrets dans un fichier à part, jamais publié (souvent appelé « .env »), ou dans les réglages prévus pour ça chez votre hébergeur.
• Quand vous collez du code dans une conversation pour demander de l'aide, remplacez la vraie clé par « MA_CLE ».
• Si une clé a fuité, ne vous contente pas de l'effacer du code : désactivez-la dans le service concerné et créez-en une nouvelle.

2. Mettre en ligne sans comprendre

Publier, c'est rendre votre projet accessible à tous. Avant, posez-vous trois questions : qu'est-ce que ce site enregistre ? Qui peut y accéder ? Que se passe-t-il si quelqu'un saisit n'importe quoi ? Si vous ne savez pas répondre, demandez à l'IA de vous expliquer, et ne publiez pas tant que ce n'est pas clair. Une page purement informative présente peu de risques ; un formulaire qui collecte des noms et des adresses vous rend responsable de ces données, avec des obligations légales (en Europe, le RGPD).

3. Lancer une commande sans savoir ce qu'elle fait

L'IA propose parfois des commandes à taper dans un terminal. La plupart sont inoffensives, mais certaines suppriment des fichiers ou modifient votre système. Avant de lancer une commande, demandez : « Que fait exactement cette commande, et peut-elle effacer quelque chose ? » Et n'exécutez jamais un programme trouvé sur une page inconnue sous prétexte qu'il « règle le problème ».

4. Tester avec de vraies données

Testez avec des données inventées (« Client Test », « test@exemple.fr »), jamais avec les fichiers de vrais clients ou les coordonnées de vos proches. Une erreur de code ne doit pas devenir une fuite de données.