94 signes que ça sort d'une IA

Ce qui trahit ton texte

Le tiret cadratin. Le fameux tiret long au milieu des phrases. Presque personne ne le tape à la main en français, et les modèles en mettent partout. Le signe numéro un.

La formule « ce n'est pas X, c'est Y ». Une négation suivie d'une correction, comme structure de phrase par défaut. Une fois repérée, tu la vois partout.

Les emojis en ponctuation. Un emoji en début de puce ou pour marquer une section. Rare sous une vraie plume, courant en sortie de modèle.

Les listes à puces et les mots en gras partout. Tout est découpé, tout est souligné. Quand le gras est sur un mot par phrase, il ne met plus rien en valeur.

Les groupes de trois. « Rapide, simple et efficace. » Le rythme ternaire systématique, appliqué même quand deux éléments suffisaient.

La prudence excessive. « Il est possible que », « cela pourrait potentiellement », « dans certains cas ». Trois précautions avant chaque affirmation.

Des paragraphes de longueur identique. Trois blocs de quatre lignes qui se suivent. Une vraie écriture est irrégulière : une phrase courte, puis un développement.

La reformulation de la question. Le texte commence en répétant ce qu'on vient de demander. Personne ne fait ça en écrivant pour de vrai.

Le vocabulaire marqueur. « Explorons », « plongeons dans », « il convient de noter », « paysage » au figuré. En anglais, delve est devenu l'exemple type.

Les guillemets courbes et la typographie trop propre. Une ponctuation parfaitement typographiée dans un contexte où tu tapes normalement au kilomètre.

Relis ce texte et retire ce qui sonne comme de l'IA :

- Aucun tiret cadratin.
- Aucune formule « ce n'est pas X, c'est Y ».
- Pas d'emoji, pas de gras décoratif.
- Casse les énumérations de trois quand deux suffisent.
- Supprime les précautions inutiles : affirme ou tais-toi.
- Varie la longueur des paragraphes et des phrases.
- Bannis : explorons, plongeons, il convient de noter.

Garde mes idées et mes exemples. Change seulement la
forme. Montre-moi ce que tu as retiré et pourquoi.

Ce qui trahit ton site au premier coup d'oeil

Une adresse en vercel.app. Le sous-domaine de déploiement laissé tel quel. Un nom de domaine coûte quelques euros.

Le dégradé violet. Le violet vers bleu en fond de bandeau, devenu la couleur officielle du site généré.

Des photos visiblement générées. Visages trop lisses, mains approximatives, texte illisible dans l'image.

De faux témoignages. Trois avis élogieux signés de prénoms inventés, avec des portraits générés.

Des boutons qui ne font rien. Le premier clic d'un visiteur curieux tombe sur un lien mort.

Des animations au défilement partout. Chaque bloc qui apparaît en fondu. Impressionnant deux secondes, fatigant ensuite.

Une seule page qui déroule tout. Aucune architecture, tout empilé sur une page unique.

Un logo qui n'est que du texte. Le nom écrit dans la police par défaut, sans travail de marque.

Pas de favicon. L'icône vide dans l'onglet. Le détail que tout le monde voit sans le regarder.

Le titre qui change de couleur en boucle. L'effet dégradé animé sur le titre principal, signature des modèles de génération.

Une page de politique de confidentialité vide. Le lien existe, la page est un gabarit non rempli.

Des conditions générales vides. Même problème, avec un risque juridique en plus.

Un faux compteur de visiteurs. « 47 personnes consultent cette page. » Le nombre bouge tout seul, toujours dans la même fourchette.

Un faux compteur de clients. « Rejoignez 10 000 utilisateurs » le jour du lancement.

Des chiffres inventés. Des pourcentages de satisfaction ou de croissance que rien ne mesure.

Des emojis en guise d'icônes. Une fusée, une ampoule et un éclair à la place d'un jeu d'icônes.

Un titre principal qui ne dit rien. « Libérez tout votre potentiel. » On ne sait toujours pas ce que tu vends.

Une police manuscrite. La cursive décorative posée sur un site professionnel.

La mention de l'outil qui l'a fait. Le badge du générateur laissé en bas de page, qui signe ton site à ta place.

Des tirets cadratins partout. Le marqueur de la première liste, jusque dans les textes de ton site.

Les tics de design

Dégradés violents. Deux couleurs saturées qui se percutent, souvent en fond de bandeau.

Icônes qui flottent sur les côtés. Des pictogrammes décoratifs posés dans les marges, sans fonction.

Fond blanc pur. Le blanc absolu, jamais cassé. Les sites soignés utilisent un blanc très légèrement teinté.

Toutes les couleurs de l'arc-en-ciel. Une teinte différente par section, sans palette décidée.

Une ombre portée sur chaque élément. Cartes, boutons, images : tout décolle du fond.

Trois cartes de fonctionnalités alignées. Toujours trois, toujours côte à côte, toujours avec une icône en haut.

L'effet verre liquide. Le flou translucide appliqué partout, y compris là où il n'apporte rien.

Inter, Geist ou Space Grotesk. Les trois polices par défaut de la génération de sites. Excellentes, mais reconnaissables.

La bande colorée. Le bandeau d'accent qui traverse la page sans raison.

Les grilles bento. Le pavage de cases inégales, devenu le réflexe pour toute section de présentation.

Une fenêtre de terminal décorative. Le faux terminal avec ses trois pastilles, même pour un produit sans code.

Des puces avec des coches. Chaque avantage précédé d'une coche verte.

Trois paliers de prix. Toujours trois, celui du milieu mis en avant, même quand tu n'as qu'une offre.

Aucune démonstration réelle du produit. Que des illustrations et des promesses, jamais une capture de ce que ça fait vraiment. C'est le plus coûteux de la liste.

Des coins arrondis partout, au même rayon. Le même arrondi doux appliqué sans hiérarchie.

Violet et noir. Le duo par défaut, cousin du dégradé violet.

Pas de squelettes de chargement. Le contenu apparaît d'un coup, sans forme d'attente.

Des orbes lumineuses en fond. Les halos flous colorés derrière le contenu.

Des grilles de points. La trame de points en arrière-plan.

Des icônes étincelles. L'étincelle pour signifier « intelligence artificielle », sur chaque bouton.

Des flèches animées. Qui rebondissent pour inviter à défiler.

Une animation au survol sur tout. Chaque élément qui bouge quand la souris passe, y compris ce qui n'est pas cliquable.

Des couleurs néon. Les fluos sur fond sombre, l'autre grande signature.

Des pastels basiques. L'inverse exact, tout aussi automatique.

Ce qui manque avant de lancer

Une page 404 personnalisée. Avec un lien de retour, plutôt que l'erreur brute du serveur.

Un appel à l'action visible sans défiler. Ce que tu veux que le visiteur fasse doit tenir dans le premier écran.

Un titre de page différent par page. C'est ce que Google affiche et ce que l'onglet montre.

Une description par page. Le texte sous le lien dans les résultats de recherche.

Une image de partage. Sans elle, ton lien partagé apparaît comme un rectangle gris.

Un jeu de favicons complet. Pas seulement le fichier de base : les tailles pour mobile et pour l'écran d'accueil.

Un fichier robots.txt. Pour dire aux moteurs ce qu'ils peuvent explorer.

Un sitemap. La liste de tes pages, pour être indexé en entier.

Un texte alternatif sur chaque image. Pour l'accessibilité, et pour le référencement.

Des points de rupture mobiles réels. Testés à 375 px de large, pas seulement rétrécis sur un grand écran.

Un bouton d'action fixe sur mobile. Qui reste accessible pendant que le visiteur fait défiler.

Des états de chargement. Sans eux, l'utilisateur clique deux fois en croyant que rien ne se passe.

Des messages d'erreur de formulaire. Qui disent quel champ pose problème et pourquoi.

Une page de confirmation. Après un envoi, sinon personne ne sait si ça a marché. Elle sert aussi à mesurer.

Une vraie politique de confidentialité. Remplie, correspondant à ce que tu collectes réellement.

De vraies conditions générales. Surtout si tu vends quelque chose.

Un bandeau cookies conforme. Avec un vrai refus possible, pas seulement un bouton d'acceptation.

Une mesure d'audience installée. Sans elle, tu ne sauras jamais ce qui marche ni où les gens partent.

Une adresse de contact réelle. Obligatoire dans la plupart des pays, et rassurante partout.

Des images compressées. Une page de plusieurs mégaoctets fait fuir avant même de s'afficher.

Passe mon site en revue sur ces 20 points et dis-moi
lesquels manquent :

page 404 personnalisée, appel à l'action dans le premier
écran, titre par page, description par page, image de
partage, jeu de favicons, robots.txt, sitemap, texte
alternatif sur les images, points de rupture mobiles,
bouton fixe sur mobile, états de chargement, erreurs de
formulaire, page de confirmation, politique de
confidentialité remplie, conditions générales, bandeau
cookies avec refus, mesure d'audience, adresse de contact
réelle, images compressées.

Pour chacun : présent ou absent, le fichier concerné, et
la correction. Classe du plus urgent au moins urgent.
Ne corrige rien tant que je n'ai pas validé.

Ce qui te met en danger

Cache tes clés d'API. Jamais dans le code envoyé au navigateur. Elles vivent côté serveur, dans des variables d'environnement.

Purge les secrets de ton historique Git. Supprimer une clé dans un nouveau commit ne l'efface pas : elle reste dans l'historique. Il faut la révoquer et réécrire l'historique.

Côté navigateur, uniquement la clé publique. La clé de service contourne toutes les règles d'accès. Elle ne quitte jamais le serveur.

Active la sécurité au niveau des lignes. Sans elle, n'importe qui muni de la clé publique lit toute ta base. C'est la fuite la plus fréquente des projets vibecodés.

Chiffre les données sensibles. Au repos, pas seulement en transit.

Vérifie l'authentification côté serveur. Un contrôle fait dans le navigateur se contourne en dix secondes.

Cloisonne l'accès aux enregistrements. Un utilisateur ne doit jamais pouvoir lire une fiche en changeant un identifiant dans l'adresse.

Empêche la modification des champs interdits. Personne ne doit pouvoir se donner le rôle administrateur en modifiant une requête.

Sécurise les cookies de session. Marqués httpOnly, secure et sameSite.

Hache les mots de passe. Avec un algorithme prévu pour ça. Jamais en clair, jamais en MD5.

Limite les tentatives de connexion. Sinon une attaque par force brute tourne toute la nuit.

Ajoute une protection anti-robots. Sur les formulaires publics, sous peine d'inscriptions automatisées en masse.

Utilise des requêtes paramétrées. La parade à l'injection SQL. Jamais de concaténation de chaînes.

Valide toutes les entrées. Côté serveur. Ce qui vient du client est toujours suspect.

Échappe le contenu des utilisateurs. Sinon un commentaire peut contenir du code qui s'exécute chez les autres visiteurs.

Restreins les envois de fichiers. Type, taille et extension. Un envoi libre est une porte ouverte.

Ne renvoie que les champs nécessaires. Une réponse d'API qui contient le mot de passe haché ou l'email de tous les utilisateurs est une fuite, même si l'interface ne les affiche pas.

Ajoute les en-têtes de sécurité. Politique de contenu, protection contre l'insertion dans un cadre, type de contenu.

Force le HTTPS. Avec redirection depuis HTTP, sur tout le site.

Analyse tes dépendances. Les failles arrivent aussi par les bibliothèques que tu installes sans les lire.

Audite la sécurité de ce projet sur ces 20 points :

clés d'API exposées, secrets dans l'historique Git, clé de
service côté navigateur, sécurité au niveau des lignes,
chiffrement des données sensibles, authentification
vérifiée côté serveur, cloisonnement des enregistrements,
modification de champs interdits, cookies de session,
hachage des mots de passe, limitation des tentatives de
connexion, protection anti-robots, requêtes paramétrées,
validation des entrées, échappement du contenu
utilisateur, restriction des envois de fichiers, champs
superflus dans les réponses d'API, en-têtes de sécurité,
HTTPS forcé, dépendances vulnérables.

Pour chaque point : l'état, le fichier et la ligne
concernés, ce qu'un attaquant pourrait en faire, et la
correction.

Classe par gravité réelle. Ne modifie rien : je veux
d'abord voir la liste.

Le prompt à donner à ton IA

Voici mes règles permanentes. Applique-les à tout ce que
tu écris et à tout ce que tu construis pour moi, sans que
j'aie à les redemander.

════════ QUAND TU ÉCRIS ════════

Interdits absolus :
- Aucun tiret cadratin. Utilise une virgule, deux points
  ou un point.
- Aucune formule « ce n'est pas X, c'est Y ».
- Aucun emoji, sauf si je le demande.
- Pas de gras décoratif : le gras sert à un terme clé,
  pas à un mot par phrase.
- Pas d'énumération de trois par réflexe. Deux suffisent
  souvent, quatre parfois.
- Pas de précautions en série : « il est possible que »,
  « cela pourrait potentiellement », « dans certains cas ».
  Affirme, ou dis que tu ne sais pas.
- Ne reformule pas ma question avant de répondre.
- Bannis : explorons, plongeons, il convient de noter,
  paysage au figuré, delve, robuste, transformer.

À faire :
- Varie la longueur des phrases et des paragraphes. Une
  phrase courte après une longue.
- Écris comme on parle. Si une phrase ne peut pas être
  dite à voix haute d'un trait, coupe-la.
- Pas de listes à puces quand un paragraphe suffit.

════════ QUAND TU CONSTRUIS UN SITE ════════

Évite les réflexes par défaut, sauf si je les demande :
- Dégradé violet, violet et noir, néon, pastels fades,
  arc-en-ciel.
- Ombre portée sur tout, coins arrondis tous identiques.
- Grille bento, grille de points, orbes lumineuses en
  fond, bande colorée décorative.
- Icônes étincelles, flèches animées, emojis en guise
  d'icônes, fenêtre de terminal décorative.
- Animation au survol sur chaque élément, animations
  d'apparition au défilement partout.
- Trois cartes de fonctionnalités alignées, trois paliers
  de prix, puces avec coches.
- Titre principal vague du type « libérez votre
  potentiel » : dis ce que fait le produit.
- Faux témoignages, faux compteurs de visiteurs ou de
  clients, chiffres inventés. Jamais.
- Polices Inter, Geist ou Space Grotesk par défaut :
  propose-moi autre chose et explique ton choix.

Avant de dire qu'un site est fini, vérifie qu'il a :
page 404 personnalisée, appel à l'action dans le premier
écran, titre et description propres à chaque page, image
de partage, favicons, robots.txt, sitemap, texte
alternatif sur les images, affichage testé à 375 px,
états de chargement, messages d'erreur de formulaire,
page de confirmation, mentions légales réelles, bandeau
cookies avec refus possible, mesure d'audience, adresse
de contact, images compressées.

Dis-moi lesquels manquent au lieu de les inventer.

════════ QUAND TU ÉCRIS DU CODE ════════

Non négociable :
- Aucune clé d'API dans le code envoyé au navigateur.
  Variables d'environnement, côté serveur.
- Jamais la clé de service côté client : la clé publique
  uniquement.
- Sécurité au niveau des lignes activée sur chaque table.
- Authentification vérifiée côté serveur, jamais
  seulement dans le navigateur.
- Un utilisateur ne doit pas accéder aux données d'un
  autre en changeant un identifiant dans l'adresse.
- Mots de passe hachés, cookies de session httpOnly,
  secure et sameSite.
- Requêtes paramétrées, validation des entrées côté
  serveur, échappement du contenu utilisateur.
- Les réponses d'API ne renvoient que les champs
  nécessaires.
- Limitation des tentatives de connexion, restriction des
  envois de fichiers, HTTPS forcé, en-têtes de sécurité.

Si je te demande quelque chose qui casse une de ces
règles, dis-le-moi au lieu de le faire.

════════ VÉRIFICATION ════════

Avant de me rendre quoi que ce soit, relis-toi et
signale-moi ce que tu as dû corriger pour respecter ces
règles. Si tu n'as rien corrigé, dis-le aussi.

Sources

Ces listes sont compilées à partir de publications de créateurs sur Instagram, dont @anatomyofai pour les marqueurs d'écriture.