Passer votre application codée avec Windsurf en production
Windsurf, devenu Devin Desktop, vous a permis de coder vite avec un agent qui écrit et exécute pour vous. Nous relisons ce qu'il a produit, encadrons ce qu'il peut faire et mettons votre application en production.
Vous vous reconnaissez ?
Ces situations reviennent chez la plupart des équipes qui codent avec Windsurf et nous contactent :
- L'agent exécute des commandes dans le terminal sans validation, et vous ne savez plus exactement lesquelles
- Des mémoires créées automatiquement par l'agent guident ses choix, sans que personne ne les ait relues
- Le code passe le linter, mais personne n'a vérifié qu'il fait ce qu'il est censé faire
- L'agent a accès à tout le dépôt, y compris aux fichiers de configuration et aux secrets
- Une partie du code a été revertée puis régénérée, et l'historique Git ne reflète plus ce qui s'est passé
- Il n'y a pas ou peu de tests automatisés sur les parties écrites par l'agent
- Vous n'osez pas déployer, parce que vous ne savez pas ce qui va casser
Aucune de ces situations n'est un échec : un agent qui écrit et exécute du code vous fait gagner un temps considérable. La mise en production demande de reprendre la main sur ce qu'il a fait et sur ce qu'il a le droit de faire.
Windsurf, Devin Desktop : ce qui a changé
Depuis juin 2026, Windsurf s'appelle Devin Desktop, à la suite de son rachat par Cognition, l'éditeur de Devin. Les projets, les réglages et les extensions ont été conservés, et l'éditeur propose désormais deux agents locaux, Cascade et Devin Local. Pour la mise en production, ce changement de nom ne change rien : ce qui compte, c'est le code présent dans votre dépôt.
Comme Cursor, Windsurf n'impose ni hébergement ni base de données. L'architecture, l'infrastructure et le déploiement dépendent entièrement des choix faits pendant le développement, et c'est ce que l'audit commence par établir.
Ce que nous vérifions en priorité sur un projet codé avec Windsurf
Ce que l'agent a le droit de faire. Windsurf permet à l'agent d'exécuter des commandes avec plus ou moins d'autonomie, jusqu'à une exécution automatique de tout ce qui n'est pas explicitement interdit. Nous revoyons ces réglages, les listes de commandes autorisées et interdites, et excluons les chemins sensibles avec un fichier .devinignore (anciennement .codeiumignore) pour que l'agent ne lise ni ne modifie vos secrets.
Les mémoires et les règles. L'agent peut enregistrer seul des mémoires propres à l'espace de travail, qui orientent ensuite ses choix. Nous les relisons, supprimons celles qui sont fausses ou obsolètes, et écrivons des règles de projet qui décrivent votre architecture et vos conventions.
Le code lui-même. Le linter corrige automatiquement la forme, pas la logique. Nous relisons l'authentification, l'accès aux données et les parcours critiques, unifions les solutions différentes apportées au même problème, et vérifions chaque dépendance ajoutée.
Les garde-fous. Tests automatisés sur les parcours critiques, chaîne d'intégration continue à chaque pull request, branche principale protégée et relecture humaine avant fusion. Les retours en arrière de l'agent ne sont pas réversibles : l'historique Git redevient la seule référence.
Ce qui est inclus
Audit du code existant
Architecture, qualité du code, dépendances et failles de sécurité — un état des lieux écrit avant tout développement.
Sécurisation
Secrets sortis du code, authentification vérifiée, dépendances à jour, conformité RGPD si des données personnelles sont en jeu.
Mise en production
Tests automatisés, CI/CD, hébergement dimensionné et monitoring — pour déployer sans craindre chaque mise à jour.
Questions fréquentes
Oui. Windsurf a été renommé Devin Desktop en juin 2026, après son rachat par Cognition. Nous travaillons sur votre dépôt de code, quel que soit le nom de l'éditeur utilisé pour l'écrire.
Cela dépend de ce à quoi il a accès. Sur un poste qui contient vos clés de production ou un accès à votre base de données réelle, une commande malheureuse peut avoir des conséquences directes. Nous limitons les commandes autorisées, excluons les fichiers sensibles et séparons les accès de développement de ceux de production.
Non. Elles orientent l'agent, elles ne contrôlent rien. Les protections qui comptent s'exécutent sans dépendre du modèle : tests automatisés, analyse de sécurité dans la chaîne d'intégration, branche protégée et relecture humaine.
Rarement. L'audit détermine ce qui peut être conservé, ce qui doit être unifié et ce qui doit être remplacé. Dans la plupart des cas, la logique métier est conservée et ce sont la cohérence du code, les tests et l'outillage qui sont repris.
Oui. Nous configurons le projet pour que l'agent travaille dans un cadre défini, et nous mettons en place les tests et la chaîne d'intégration qui détectent ses erreurs avant qu'elles atteignent la production.
Chaque projet est chiffré sur devis après l'appel découverte et l'audit du code, selon la taille du projet, son architecture et le périmètre visé. Le devis est fixé avant le démarrage.
Le détail complet de la méthode et du déroulé du projet est sur la page Vibe to Prod.
Pour préparer le terrain vous-même, lisez notre guide Combien coûte la mise en production d'un POC vibe-codé.