Lovable lance son offre Enterprise : déploiement sur l'AWS et l'Azure du client, inférence en UE et gouvernance

Lovable, le service de développement d'applications par invites en langage naturel, déploie un ensemble de fonctionnalités taillées pour les grandes entreprises. La nouveauté majeure réside dans la possibilité d'héberger les applications et leurs données directement sur le compte cloud AWS ou Azure du client. Les deux options sont actuellement en préversion privée. Deutsche Telekom a été le premier à basculer en production : dès le mois d'octobre, le groupe a déployé ses applications Lovable sur son propre compte AWS. Les autres ajouts répondent aux exigences classiques des équipes de sécurité : localisation de l'exécution du code, acheminement des requêtes vers les modèles et gouvernance des publications.

Ce lancement s'appuie sur le modèle fédéré que Lovable observe chez ses clients. L'équipe IT ou IA centrale définit en amont les règles cadres, au sein desquelles les différentes entités métier conçoivent leurs applications. L'éditeur évoque ainsi un foisonnement maîtrisé qui évite les dérives du shadow IT.

Les données restent dans le périmètre du client

Deploy on AWS et Deploy on Azure transfèrent dans le compte du client les bacs à sable de prévisualisation, les applications publiées, la base de données, le stockage de fichiers et les logs. L'ensemble fonctionne au sein d'un réseau dédié. Les applications se connectent aux systèmes internes — comme les entrepôts de données — via des mécanismes de peering VPC ou VNet, sans jamais exposer ces ressources sur l'internet public. Lovable prend en charge l'installation et les mises à jour. Selon l'entreprise, le cas d'usage type concerne une application RH interrogeant le système d'information du personnel : tant qu'elle ne réside pas au sein du réseau d'entreprise, sa mise en production reste bloquée.

L'option Bring your own key fait également son apparition. Même lors d'un déploiement sur un cloud privé, l'historique des échanges et des projets reste hébergé chez Lovable. L'administrateur peut désormais associer sa propre clé de chiffrement ; en cas de révocation, Lovable perd immédiatement l'accès en lecture à ces historiques. La fonctionnalité est en préversion privée et fonctionne pour l'heure avec AWS KMS sur les espaces de travail utilisant Deploy on AWS. La prise en charge d'Azure Key Vault sera lancée en même temps que Deploy on Azure.

Pour répondre aux besoins des entreprises européennes, Lovable active l'inférence localisée dans l'UE. Par défaut, les requêtes transitent vers les points de terminaison standards des fournisseurs de modèles, susceptibles d'effectuer le traitement aux États-Unis. Lorsque l'option est activée, les requêtes restent cantonnées aux points de terminaison européens, aussi bien durant la phase de développement que pour les fonctionnalités IA des applications en production. Si aucun point de terminaison européen n'est en mesure de traiter la requête, celle-ci échoue au lieu d'être redirigée vers une autre région.

Gouvernance : Organizations, politiques et Action center

La console Organizations permet de configurer le SSO et le SCIM pour l'ensemble des espaces de travail, de mapper les groupes du fournisseur d'identité sur ces espaces, d'interdire la modification des paramètres ou la création d'espaces non approuvés, et de centraliser les logs d'audit à l'échelle de l'entreprise. Les applications internes peuvent être publiées à l'échelle de l'organisation : seuls les membres des espaces de travail de l'entité pourront y accéder.

Les politiques d'espace de travail bloquent les actions non conformes ou les soumettent à l'approbation d'un administrateur ou d'un propriétaire. Les premières règles portent sur la publication :

• interdiction de publier en présence de données personnelles (PII) non traitées (remplace l'option Block publishing with PII) ;
• validation requise pour les publications initiées par des collaborateurs externes ;
• interdiction de publication publique ;
• validation requise pour les applications exploitant des connecteurs ;
• blocage de la publication depuis des adresses extérieures aux domaines vérifiés.

Lorsqu'une demande d'approbation est soumise, tous les administrateurs reçoivent une alerte dans Lovable et par e-mail. Une nouvelle validation n'est exigée que si les éléments surveillés par la politique sont modifiés, par exemple les connecteurs ou l'audience ciblée. Pendant l'attente de validation, le développement et la prévisualisation restent accessibles. Pour les politiques relatives aux connecteurs et aux collaborateurs externes, l'interface précise la fréquence à laquelle ces règles se seraient déclenchées au cours des 30 derniers jours.

L'Action center centralise les demandes de validation et les signaux d'alerte : projets orphelins, hausses brutales de consommation de crédits, applications publiques présentant des vulnérabilités critiques ou projets inactifs depuis plusieurs mois. Il est accessible avec les forfaits Business et Enterprise, la gestion des demandes d'approbation exigeant l'offre Enterprise.

API et exportation des logs

L'API Lovable, disponible pour les offres Business et Enterprise, permet de lire les configurations, la liste des membres et des groupes, la télémétrie, les résultats des analyses de sécurité, tout en offrant la possibilité de publier, dépublier, mettre à jour et supprimer des projets. L'offre Enterprise donne en plus accès aux marqueurs PII et à l'inventaire de sécurité des projets. Les données sur les crédits et les quotas seront intégrées ultérieurement. Les clés d'API sont générées par les propriétaires et les administrateurs, des clients OAuth étant également disponibles.

Les logs d'audit sont exportés vers Splunk, Azure Log Analytics, Amazon S3, Google Cloud Storage ou Azure Blob Storage toutes les heures ou toutes les 3 heures, en ne transférant que les nouveaux événements. Lovable conserve les logs pendant 13 semaines, tandis que l'export permet aux entreprises de maintenir une copie conforme selon leur propre durée de rétention. Les connexions aux environnements cloud reposent sur des identifiants temporaires, sans clés à longue durée de vie.

Perspectives

La feuille de route prévoit l'application globale de paramètres à tous les espaces d'une organisation, la parité fonctionnelle complète entre AWS, Azure et l'hébergement natif Lovable, ainsi que l'arrivée de Deploy on Google Cloud. Les politiques, l'Action center, l'API et l'exportation des logs sont d'ores et déjà disponibles. L'accès à Organizations et aux préversions privées s'effectue via les chargés de compte ou à l'adresse [email protected]. Pour les équipes dont les prototypes se heurtent aux exigences de conformité, trois points doivent être anticipés : la nécessité d'un déploiement sur leur propre cloud, les contraintes réglementaires de traitement des flux IA en UE et la sélection des politiques de publication à verrouiller en priorité.