What Ships · Preuves

Code généré par l'IA vs code humain : à quoi ressemble la différence sur un site web en ligne ?.

Vous vous demandez si un code généré par l'IA convient à votre site. Cette page présente les études, traduites en éléments concrets que vous pouvez observer sur une page en ligne, et un moyen de vérifier votre propre site. L'évaluation se limite à la lecture de vos pages publiques. Elle ne se connecte pas, ne consulte pas les statistiques et ne voit pas qui a écrit votre code. Elle n'a donc aucun moyen de le deviner.

Sur cette page 11 sections

00Points clés à retenir
01Quelle est la différence entre un code généré par l'IA et un code écrit par un humain ?
02Que révèlent les études concernant la qualité et la sécurité du code généré par l'IA ?
03À quoi ressemble le code écrit par l'IA une fois devenu une page en ligne ?
04Peut-on savoir de l'extérieur si un site a été créé par l'IA ?
05Qui a écrit le code importe-t-il si la page fonctionne ?
06Que devez-vous vérifier dans un code généré par l'IA avant sa mise en production ?
07Comment évaluer l'état d'un site, quel que soit l'auteur du code ?
08Vos questions, nos réponses
09Analyser votre propre site
10À propos de l'auteur

Points clés à retenir.

Vos utilisateurs voient ce que votre page affiche dans un navigateur. Que le code ait été écrit par une personne ou par un modèle ne change rien pour eux.
Les études divergent sur l'ampleur de cet écart. Considérez donc les taux de défauts et de vulnérabilités comme des signaux d'alerte, pas comme des jugements définitifs sur votre site.
Faites une requête sur votre page d'accueil et lisez les en-têtes de réponse. Lors du test Tenzai, aucune des 15 applications développées par l'IA n'a défini d'en-têtes de sécurité.
Lancez l'évaluation gratuite sur votre site. Elle prend environ deux minutes et vous donne une note sur 100, avec des éléments justificatifs pour chacun des huit piliers.

Quelle est la différence entre un code généré par l'IA et un code écrit par un humain ??

La seule différence fiable tient à l'auteur : l'un a été rédigé par un modèle à partir d'une consigne, l'autre par une personne. Ouvrez le code source de votre page : vous y trouverez du HTML, du CSS, du JavaScript et des en-têtes de réponse. Pas de signature. Pas de filigrane. Votre navigateur ne peut pas savoir qui l'a rédigé, et vous non plus. (Essayez sur une page dont vous croyez pouvoir identifier l'auteur : vous en serez réduit à deviner.)

Le résultat lui-même, en revanche, vous pouvez l'évaluer : votre modèle de rendu, le poids du script, l'ordre des balises, les données structurées, les en-têtes de réponse. Chacun de ces éléments remonte à une décision que vous pouvez examiner. Un modèle décide à partir de votre consigne, une personne à partir du projet. Dans les deux cas, la décision peut être bonne ou mauvaise. Et votre page montre laquelle.

Pour chaque étude de la section suivante, demandez-vous ce qu'elle signifie pour vos pages. Un taux de défauts dans une pull request concerne un dépôt, pas votre site. Un en-tête manquant sur votre page d'accueil ? Cela concerne votre site, et vous pouvez y remédier. Lancez donc l'évaluation gratuite et découvrez ce que vos pages proposent réellement.

Que révèlent les études concernant la qualité et la sécurité du code généré par l'IA ??

La plupart des études que vous trouverez indiquent que le code écrit par l’IA comporte davantage de défauts et de failles de sécurité que le code écrit par des humains, même si l’écart varie d’une étude à l’autre. L'analyse de CodeRabbit sur 470 pull requests open source relève 10,83 problèmes par pull request pour le code généré par l'IA, contre 6,45 pour le code écrit par des humains : 1,7 fois plus de défauts. Selon son tableau, les failles de type « cross-site scripting » sont 2,74 fois plus nombreuses.

L'étude menée par Veracode en 2025 sur plus de 100 modèles de langage (LLM) relève un taux global de vulnérabilité de 45 %. Pour les attaques de type « cross-site scripting », le taux d'échec atteint 86 %. Tenzai a ensuite testé 15 applications développées avec Cursor, Claude Code, Replit, Devin et OpenAI Codex, soit cinq outils différents : aucune n’avait mis en place de protection contre les attaques CSRF ni défini d’en-têtes de sécurité. Cinq outils, un même point faible.

Tous les résultats ne vont pas dans le même sens. Une analyse de dépôts GitHub publics conclut que 87,9 % du code généré par l’IA ne présente aucune vulnérabilité identifiable répertoriée dans la base CWE. Une étude publiée sur arXiv montre, elle, que le code écrit par des humains contient davantage de doublons : 25,89 % contre 18,69 %. Voyez-y des signaux de risque sur les dépôts, pas des jugements sur votre site. Un dépôt n’est pas une page.

À quoi ressemble le code écrit par l'IA une fois devenu une page en ligne ??

Une fois en production, votre code généré par l'IA correspond exactement à ce que votre build a envoyé au navigateur : un modèle de rendu, des scripts, des en-têtes et du balisage. Faites une requête vers votre page d'accueil et lisez les en-têtes de réponse (l'onglet « Réseau » de votre navigateur suffit). Lors du test Tenzai, aucune des 15 applications n'a défini d'en-têtes de sécurité. Vérifiez si c'est aussi le cas de la vôtre.

Ces études ne peuvent pas vous montrer tout cela. Votre page, si. Ouvrez son code source et vérifiez si votre contenu figure dans le HTML ou s'il n'apparaît qu'après l'exécution de vos scripts. Pesez vos scripts et vos images. Examinez l'ordre de vos titres, recherchez les données structurées, puis ouvrez votre fichier robots.txt pour voir ce que les robots d'indexation sont susceptibles de récupérer. Rien de tout cela ne nécessite de connexion.

L'évaluation analyse votre page d'accueil et jusqu'à huit pages sélectionnées au hasard, selon les indicateurs que vous avez cochés. Elle n'a pas accès à votre dépôt, donc elle ne peut pas repérer les logiques dupliquées ni les paquets fictifs. Ce qu'elle voit, en revanche, c'est ce qui a été mis en ligne, et c'est justement la partie que vos visiteurs voient. Le reste dort dans votre dépôt, hors de portée.

Peut-on savoir de l'extérieur si un site a été créé par l'IA ??

Non, vous ne pouvez pas le déterminer de manière fiable de l'extérieur. Une consultation publique de votre site montre ce que vos pages affichent, et non qui les a écrites. Ouvrez le code source de votre page et cherchez des indices : des en-têtes légers, un gros paquet de scripts, l'absence de données structurées. Mais une création humaine bâclée laisse exactement les mêmes traces. Bref, ces indices ne prouvent rien sur l'auteur de votre code.

La preuve de la paternité du code se trouve dans votre dépôt, pas dans l'onglet de votre navigateur. Le rapport 2026 de GitClear recense le code copié-collé, dont la part est passée de 9,4 % du nouveau code en 2022 à 15,7 % au premier semestre 2026. Calculez la part de votre propre nouveau code que vous avez copiée-collée. L’étude arXiv recense les visites répétées dans un délai de 30 et 90 jours. Et pour consulter ces données, il vous faut votre historique de commits (la seule chose que votre navigateur ne reçoit jamais). Voilà votre angle mort.

Si un outil prétend détecter la paternité d'un contenu généré par l'IA à partir de votre page en ligne, méfiez-vous. Évaluez plutôt votre modèle de rendu, vos en-têtes, votre balisage et l'accès des robots d'indexation, et laissez le résultat parler de lui-même, quelle que soit la personne qui a écrit votre code. L'évaluation gratuite analyse votre propre site et vous montre ce que vous publiez. Sur la paternité d'un contenu, une preuve vaut mieux qu'une supposition.

Qui a écrit le code importe-t-il si la page fonctionne ??

Pas grand-chose, si « fonctionne » veut dire davantage que « se charge ». Ce sont vos visiteurs et les robots d'indexation qui jugent ce que votre page fournit, et non la personne qui l'a rédigée. Et votre page peut s’afficher correctement dans votre navigateur tout en n'envoyant aucun en-tête de sécurité, en cachant votre contenu derrière des scripts ou en bloquant les robots d’indexation dans votre fichier robots.txt (cela arrive plus souvent que vous ne le pensez). Avant de déclarer votre site terminé, vérifiez donc vos en-têtes, vos scripts et votre fichier robots.txt.

L'auteur compte quand même pour la suite : comparez donc vos propres habitudes de révision à ces chiffres. L'enquête 2025 de Stack Overflow auprès des développeurs montre que la confiance dans la précision des outils d'IA est tombée à 33 %, contre 43 % auparavant. La vôtre a peut-être baissé elle aussi. Second Talent indique que 71 % des développeurs ne fusionnent pas le code généré par l’IA sans révision manuelle, et que 66 % passent plus de temps à corriger des résultats « presque corrects ». Faites-vous de même pour vérifier vos propres résultats ? LeadDev, citant le rapport DORA de Google, indique que chaque augmentation de 25 % de l’utilisation de l’IA entraîne une instabilité supplémentaire de 7,2 %. Alors vérifiez vos résultats. Intégreriez-vous du code généré par votre propre IA sans l’avoir lu ?

Vos visiteurs et les robots d'indexation ne voient que votre page, jamais son auteur. Mais si vous ne pouvez pas expliquer pourquoi votre code fonctionne ainsi, vous ne pouvez pas vous fier à votre prochaine modification. Votre page fonctionne par hasard, et la chance finit toujours par tourner (en général le jour du déploiement). Lancez l'évaluation gratuite de votre site pour voir ce que votre page présente réellement à vos visiteurs.

Que devez-vous vérifier dans un code généré par l'IA avant sa mise en production ??

Confrontez votre diff aux points essentiels de la liste de contrôle de SiteGround : votre périmètre, les modifications hors sujet, les logiques redondantes, les nouvelles dépendances, et votre capacité à justifier votre modification. Ensuite, tranchez : conservez-le, refactorisez-le, annulez-le ou transmettez-le à un niveau supérieur. Et commencez par ouvrir vos tests. SpecStory souligne qu’un agent peut faire passer votre suite de tests en modifiant vos tests (oui, vraiment) : un résultat « vert » prouve donc moins que vous ne le pensez.

Lancez vos linters, votre vérificateur de types, votre scanner de sécurité et vos tests, comme le préconise le workflow en cinq étapes de Real Python. Vérifiez ensuite que chaque méthode et chaque import de votre diff existent bel et bien, et que chaque dépendance que vous avez ajoutée correspond à un véritable paquet publié. Les API et les paquets inventés de toutes pièces ne se repèrent pas à l'œil nu, car ils semblent corrects à la lecture. Mais ils échouent à l'installation, et c'est une source fréquente d'échec avec l'IA.

Selon le blog Vibe Coder, le taux de vulnérabilité de 45 % avancé par Veracode tombe à moins de 10 % lorsque vous mettez en place un processus de révision structuré. Prenez cette affirmation pour ce qu'elle est, une source secondaire, et non une garantie pour votre équipe. Par ailleurs, une relecture de code ne dit pas ce que votre site a envoyé au navigateur ; soumettez donc votre page à l'outil « Public Read ».

Comment évaluer l'état d'un site, quel que soit l'auteur du code ??

Saisissez l'URL de votre site pour lancer l'évaluation gratuite : vous obtenez une note sur 100, quel que soit l'auteur de votre code. L'outil analyse votre page d'accueil et jusqu'à huit pages choisies au hasard. Indiquez ensuite votre e-mail professionnel. Le lien vers votre rapport vous est envoyé une seule fois, en deux minutes environ. Vous disposez de trois vérifications par heure et par connexion : vous pouvez donc refaire une vérification une fois vos corrections apportées.

Votre score repose sur huit critères : santé opérationnelle (16 %), architecture (15 %), performances (15 %), sécurité (12 %), recherche (12 %), schéma (10 %), préparation à l'IA (10 %) et expérience éditoriale (10 %). Chaque pilier s’appuie sur des éléments justificatifs : vous voyez ainsi quel en-tête, quel script ou quelle rubrique de vos pages a pesé dans la note.

Les fourchettes situent votre site : de 80 à 100, bonne santé ; de 60 à 79, situation contraignante ; de 40 à 59, situation à risque ; de 0 à 39, état d'ancienneté. L'analyse ne se connecte pas à votre site, ne consulte pas vos statistiques, n'utilise pas vos données de performance sur le terrain et ne vous pose aucune question. Elle évalue la page sans tenir compte de son auteur. Si un outil d'IA a rédigé votre site, la note est la même que si vous aviez tapé chaque ligne vous-même : ni bonus, ni pénalité.

Vos questions, nos réponses.

01Le code généré par l'IA est-il moins bon que le code écrit par un humain ?

Les études ne s'accordent pas sur l'ampleur de cet écart. CodeRabbit a relevé 1,7 fois plus de défauts dans les pull requests générées par l'IA, alors qu'une analyse de GitHub a conclu que 87,9 % du code généré par l'IA ne présentait aucune vulnérabilité identifiable répertoriée dans la base CWE. Votre résultat dépend de la révision que vous faites. Quant à la page que vous publiez, elle montre le résultat, quelle que soit la manière dont le code a été écrit.

02L'analyse peut-elle me dire si mon site a été créé avec l'IA ?

Non. L'évaluation analyse des signaux publics : en-têtes, balisage, données structurées, titres, poids des scripts et des images, signaux liés aux robots et aux URL canoniques. Aucun ne mentionne le nom d'un auteur. Elle évalue l'état de votre site ; le résultat vaut donc que le code ait été écrit par une personne, un modèle ou les deux. La page elle-même en fait foi.

03L'analyse examine-t-elle mon code source ou mon dépôt ?

Non. Il analyse ce que votre site rend public : la page d'accueil et jusqu'à huit pages tirées au hasard. Il ne se connecte pas, ne consulte pas les statistiques et n'accède pas à votre dépôt ; il ne peut donc ni repérer les doublons de logique ou les paquets fictifs, ni juger la qualité des tests. Pour cela, passez par une liste de contrôle de relecture de code avant la fusion. C'est une tâche distincte, avec un autre outil.

04Combien coûte l'analyse gratuite, et à quelle fréquence puis-je la lancer ?

Ce service est gratuit et prend environ deux minutes. Saisissez l'adresse de votre site et un e-mail professionnel ; le lien vers le rapport vous est envoyé une seule fois. Vous pouvez effectuer trois vérifications par heure et par connexion. Si vous corrigez quelque chose, vous pouvez donc relancer une vérification dans l'heure qui suit.

Sources

Les faits de cette page proviennent des documents ci-dessous, vérifiés le 2026-10-25. Les chiffres sur l'analyse elle-même décrivent son fonctionnement.

À propos de l'auteur.

Gautam Khorana

Ingénieur web et fondateur : plus de 12 ans d'expérience sur des milliers de sites web de toutes sortes et de toutes tailles, de WordPress au web moderne. A développé et gère l'évaluation gratuite sur laquelle repose ce site, et rédige What Ships d'après ce que les sites livrent réellement.

gautamkhorana.com · LinkedIn · À propos de l'analyse

D'autres articles de What Ships.

Dans deux minutes

Voir ce que livre votre site.

Analyser votre site Réserver un appel de 30 minutes

Consultez un exemple de rapport