Le vibe coding n’est plus une curiosité. Le terme, forgé par Andrej Karpathy en février 2025 et élu mot de l’année 2025 par le Collins English Dictionary, désigne le fait de décrire une application en langage naturel et de laisser un agent IA générer le code. En mai 2025, la question était de savoir s’il s’agissait d’une révolution ou d’un simple buzzword. Un an plus tard, la pratique s’est installée, au point que le cabinet Gartner anticipe que 60 % du nouveau code sera généré par IA d’ici la fin de l’année. Reste une question, moins souvent posée que celle du meilleur outil : que devient une application une fois la démonstration terminée ?
En 2026, il ne s’agit plus de savoir si les outils de vibe coding fonctionnent. Le marché s’est structuré en trois familles. Les IDE et agents destinés aux développeurs et développeuses, qui accélèrent un travail existant sans le remplacer. Les générateurs d’applications pensés pour les profils non techniques, qui sortent un logiciel sans qu’une ligne de code soit écrite à la main. Et des outils spécialisés sur un segment précis, du composant d’interface à l’hébergement intégré.
Les tarifs, eux, convergent. La facturation à l’usage se généralise et brouille l’anticipation budgétaire, si bien qu’indiquer un prix outil par outil n’a plus grand sens. Voici les ordres de grandeur du marché.
Les fourchettes de prix du vibe coding
Les modèles économiques se ressemblent d’un outil à l’autre, avec une part croissante de facturation à l’usage (crédits ou tokens) qui rend la dépense difficile à anticiper :
GitHub Copilot et Hostinger Horizons se situent sous cette fourchette. Les grilles bougent vite, mieux vaut les vérifier avant tout engagement.
Ces outils s’installent dans l’environnement de développement. Ils lisent la base de code, proposent des modifications et exécutent des tâches sur plusieurs fichiers. Ils ne remplacent pas la personne qui code, ils la rendent plus rapide.
Cursor n’a rien demandé aux développeurs de changer, ce qui explique en grande partie sa position. Ce fork de Visual Studio Code conserve leurs raccourcis, leurs extensions et leurs habitudes, en y ajoutant une lecture de l’ensemble du projet. Son mode Composer accepte la description d’une fonctionnalité et modifie une quinzaine de fichiers en parallèle, là où l’autocomplétion classique s’arrêtait à la ligne suivante. Cette édition multi-fichiers cohérente reste son meilleur argument et explique la taille de sa communauté.
Reste que Cursor produit beaucoup, vite et suppose qu’on relise. L’outil fait gagner du temps à qui sait déjà coder, il ne dispense pas de savoir le faire.
Pas d’interface, pas d’éditeur. L’agent d’Anthropic vit dans le terminal, lit l’intégralité du projet, planifie son intervention puis l’exécute. Il écrit le code, lance les tests, lit les logs d’erreur et itère jusqu’au résultat. Sa particularité est de générer des sous-agents spécialisés et de s’appuyer sur le protocole MCP pour se brancher à des outils externes.
Sa réputation ne vient pas de sa vitesse mais de la sûreté du code produit. Claude Code propose des tests sans qu’on le lui demande, respecte les conventions du projet et accepte d’être lent sur les tâches simples. Une exigence qui suppose un niveau technique déjà solide. L’accès passe par un abonnement Claude ou par une facturation à l’usage via l’API.
Le 2 juin 2026, les utilisateurs de Windsurf ont vu leur éditeur changer de nom au redémarrage. Racheté en 2025 par Cognition, l’éditeur de l’agent autonome Devin, l’outil est devenu Devin Desktop par simple mise à jour automatique. Comptes, tarifs et extensions ont été conservés, mais l’interface s’ouvre désormais sur un centre de commande qui liste les agents actifs, locaux comme distants. Le moteur maison Cascade a laissé place à Devin Local, une réécriture présentée comme plus économe en tokens, l’ancienne version étant dépréciée depuis le 1er juillet 2026.
Devin Desktop mise sur le protocole ouvert ACP, qui fait tourner plusieurs agents (Codex, Claude, Gemini) dans une même fenêtre. Le passage d’un éditeur augmenté par l’IA à un gestionnaire d’agents résume le repositionnement, et déplace la promesse. On ne choisit plus un modèle, on orchestre ceux des autres.
Copilot existait avant le vibe coding. Lancé en 2021, longtemps cantonné à l’autocomplétion, il gère aujourd’hui des tâches multi-fichiers et crée des pull requests de bout en bout. Son intégration native à l’écosystème GitHub et sa compatibilité avec la plupart des éditeurs, de VS Code à JetBrains, restent ses meilleurs atouts. Il donne aussi accès à plusieurs modèles, à choisir selon la tâche.
Sur les tâches autonomes multi-fichiers, Cursor et Devin Desktop vont plus loin. Copilot compense par sa fiabilité et par le tarif d’entrée le plus bas du marché, gratuit pour les profils étudiants et les projets open source. C’est le choix par défaut des équipes déjà installées sur GitHub, et celui que les services informatiques valident sans discuter.
Cette famille relève d’une autre logique. Elle ne cherche pas à accélérer des développeurs, mais à donner à des personnes sans compétences techniques les moyens de produire un logiciel. On gagne certes en vitesse, mais on cède du contrôle.
Lovable a passé le printemps 2026 à s’expliquer. Le 20 avril, un chercheur en sécurité révélait qu’une faille d’autorisation laissait accessibles le code source, les identifiants de base de données et les historiques de conversation de tous les projets publics créés avant novembre 2025. Le défaut était resté ouvert 48 jours après un premier signalement. La startup suédoise a d’abord nié la fuite, évoqué un comportement intentionnel, mis en cause son partenaire de bug bounty, avant de reconnaître publiquement que sa réponse initiale était passée à côté.
L’épisode n’efface pas ce qui a fait son succès auprès du public non technique. Lovable génère une application fullstack complète, interface, back-end, base de données et authentification, à partir d’une description. L’intégration Supabase et l’export du code vers GitHub limitent la dépendance à la plateforme. La qualité visuelle du rendu et la variété des entrées, texte, image, import Figma, voix, expliquent son adoption massive. Le reproche le plus fréquent chez celles et ceux qui l’utilisent sans coder est un grand classique : corriger une chose en casse une autre.
Développé par StackBlitz, l’outil vise le passage de l’idée au prototype déployé en quelques minutes. Tout se déroule dans le navigateur grâce à la technologie WebContainers, sans installation locale. L’utilisateur ou l’utilisatrice décrit son besoin, l’outil génère une application complète avec aperçu en direct, puis la déploie en un clic. Sa version 2 a ajouté base de données, authentification et paiements. Attention cependant : un quinzaine de composants, c’est le seuil au-delà duquel Bolt.new commence à perdre le fil de son propre projet et multiplie les interventions manuelles.
L’autre limite est budgétaire. La consommation de tokens revient comme premier motif de frustration, avec des projets interrompus faute de crédits. Bolt reste taillé pour le prototype et la validation d’idée, moins pour une application destinée à durer.
Replit n’appartient pas tout à fait à cette catégorie, car la plateforme est un environnement de développement cloud complet, accessible depuis le navigateur, qui prend en charge de nombreux langages. Les projets en Python, en Go ou en Ruby y trouvent leur place, là où Lovable et Bolt restent cantonnés à la stack web. Son agent, dans sa version la plus récente, travaille en autonomie sur de longues sessions, teste son propre code et propose des points de restauration pour revenir en arrière. La firme revendique une majorité d’utilisateurs sans bagage technique.
Deux écueils reviennent : la facturation à l’usage grimpe vite lors des sessions de débogage, et l’agent bute encore sur la logique métier complexe. Replit traîne surtout un précédent embarrassant, son agent ayant supprimé une base de données de production malgré un gel de code explicite.
Fondée en solo, sans levée de fonds, rachetée par Wix pour 80 millions de dollars en numéraire quelques mois après son lancement… La trajectoire de Base44 n’a pas d’équivalent dans cette sélection. Là où la plupart de ses concurrents s’appuient sur des services tiers, la plateforme gère nativement la base de données, l’authentification, l’envoi d’emails, le stockage et les statistiques. L’utilisateur décrit son application en langage naturel, l’outil génère le code et configure les services back-end sans intégration externe à brancher. Cette intégration verticale explique sa rapidité à sortir un prototype fonctionnel.
L’avenir du produit dans le giron de Wix reste une inconnue majeure, tandis que des failles de sécurité ont été relevées depuis le rachat, dont un contournement d’authentification à l’échelle de la plateforme. De quoi rester prudent pour toute application manipulant des données sensibles.
Dernière famille, plus hétérogène. Des outils qui ne cherchent pas à tout faire, mais à traiter un segment précis mieux que les généralistes.
v0 n’a pas vocation à produire une application entière. Signé Vercel, l’éditeur de Next.js, il génère des composants React et Next.js de qualité production, prêts à être intégrés dans une base de code existante. Le code respecte les conventions modernes (TypeScript, Tailwind, shadcn/ui) et passe par une analyse de sécurité automatique avant livraison. Variables d’environnement exposées, appels d’API non sécurisés, authentification défaillante, le filtre bloque les vulnérabilités les plus courantes. Dans un marché où la fiabilité du code généré fait débat, ce garde-fou vaut à v0 d’être régulièrement placé en tête des sélections. Son intégration à l’écosystème Vercel offre un déploiement en aperçu immédiat. En contrepartie, l’outil reste centré sur l’interface. Les logiques back-end complexes exigent de basculer vers un environnement plus complet.
Hostinger Horizons regroupe génération de code, hébergement, nom de domaine et messagerie dans une seule plateforme. Lancé en 2025, l’outil s’adresse aux entrepreneurs et aux petites structures qui veulent éviter de jongler entre plusieurs services. L’interface conversationnelle est disponible dans de nombreuses langues, avec aperçu en direct, import de croquis et commandes vocales. Hébergement, certificat SSL et sauvegardes sont gérés automatiquement et le déploiement se fait en un clic, ce qui supprime l’essentiel des frictions après le développement. La jeunesse de la plateforme se voit encore, avec une bibliothèque de modèles limitée et une adaptation moindre aux applications complexes. Son tarif figure néanmoins parmi les plus bas du marché.
Les incidents cités pour Lovable, Replit et Base44 ne sont pas des accidents isolés. Ils dessinent un problème de catégorie. Une analyse de 470 pull requests GitHub menée par CodeRabbit mesure un taux de défauts 2,74 fois supérieur dans le code écrit par IA. Le Vibe Security Radar de Georgia Tech a recensé 35 CVE attribuées à du code généré par IA sur le seul mois de mars 2026, contre 6 en janvier. Lovable, de son côté, cumule trois incidents documentés en treize mois, tous sur le contrôle d’accès, le prérequis le plus élémentaire d’une plateforme multi-tenant.
Une application générée en quelques minutes par une personne qui ne lit pas le code produit n’a personne pour repérer une règle d’accès mal configurée ou un identifiant écrit en dur. Plusieurs de ces outils livrent d’ailleurs leurs applications avec les systèmes de sécurité élémentaires désactivés par défaut, une option qui ne sera pas réactivée si l’utilisateur ou l’utilisatrice ne sait qu’elle existe. Comme les projets embarquent souvent des clés Supabase, Stripe ou Google, une faille locale devient une exposition en chaîne qui dépasse le périmètre de l’application.
Cela ne condamne pas la pratique, mais délimite son usage. Pour un prototype, une démonstration client, un outil interne sans données sensibles, ces outils font gagner un temps considérable. Pour une application qui manipule des données personnelles ou des paiements, la relecture par quelqu’un qui sait lire du code n’est pas une option.
Développeur web à Toulouse