Claude Code inclut désormais des fonctionnalités de révision de sécurité automatisées pour vous aider à identifier et corriger les vulnérabilités dans votre code. Ce guide explique comment utiliser la commande /security-review et GitHub Actions pour améliorer la sécurité de votre code.
Remarque : Bien que les révisions de sécurité automatisées aident à identifier de nombreuses vulnérabilités courantes, elles doivent compléter, et non remplacer, vos pratiques de sécurité existantes et vos révisions de code manuelles.
Aperçu
Les révisions de sécurité automatisées dans Claude Code aident les développeurs à détecter les vulnérabilités avant qu'elles ne se retrouvent en production. Ces fonctionnalités vérifient les problèmes de sécurité courants, notamment les risques d'injection SQL, les vulnérabilités de cross-site scripting (XSS), les failles d'authentification, la gestion insécurisée des données et les vulnérabilités de dépendances.
Vous pouvez utiliser les révisions de sécurité de deux façons : via la commande /security-review pour des vérifications à la demande dans une session Claude Code, ou via GitHub Actions pour une révision automatique des demandes de tirage.
Disponibilité
Ces fonctionnalités sont disponibles pour tous les utilisateurs de Claude Code, notamment :
Les utilisateurs disposant de plans payants individuels (Pro ou Max).
Les utilisateurs individuels ou les entreprises disposant de comptes API Console avec paiement à l'utilisation.
Utiliser la commande /security-review
La commande /security-review vous permet d'exécuter une analyse de sécurité directement depuis Claude Code avant de valider le code.
Exécuter une révision de sécurité
Pour vérifier votre code pour les vulnérabilités :
Ouvrez une session Claude Code dans votre projet, dans l'onglet « Code » de Claude Desktop ou en exécutant
claudedans le répertoire de votre projet dans le terminal.Exécutez
/security-review.Claude analysera votre base de code et identifiera les problèmes de sécurité potentiels.
Examinez les explications détaillées fournies pour chaque problème trouvé.
Implémenter les correctifs
Une fois que Claude a identifié les vulnérabilités, vous pouvez lui demander d'implémenter les correctifs directement. Cela maintient les révisions de sécurité intégrées dans votre flux de travail de développement, vous permettant de résoudre les problèmes quand ils sont les plus faciles à corriger.
Personnaliser la commande
Vous pouvez personnaliser la commande /security-review selon vos besoins spécifiques. Consultez la documentation de révision de sécurité pour les options de configuration.
Configurer GitHub Actions pour les révisions automatisées des demandes de tirage
Après l'installation et la configuration de l'action GitHub, elle examinera automatiquement chaque demande de tirage pour les vulnérabilités de sécurité lorsqu'elle est ouverte.
Installation
Pour configurer les révisions de sécurité automatisées pour votre référentiel :
Accédez aux paramètres GitHub Actions de votre référentiel
Suivez le guide d'installation étape par étape dans notre documentation
Configurez l'action selon les exigences de sécurité de votre équipe
Fonctionnement
Une fois configurée, l'action GitHub :
Se déclenche automatiquement lorsque de nouvelles demandes de tirage sont ouvertes.
Examine les modifications de code pour les vulnérabilités de sécurité.
Applique des règles de filtrage personnalisables pour réduire les faux positifs.
Publie des commentaires en ligne sur la demande de tirage avec les problèmes identifiés et les correctifs recommandés.
Cela crée un processus de révision de sécurité cohérent dans toute votre équipe, garantissant que le code est vérifié pour les vulnérabilités avant la fusion.
Options de personnalisation
Vous pouvez personnaliser l'action GitHub pour correspondre aux politiques de sécurité de votre équipe, notamment en définissant des règles spécifiques pour votre base de code et en ajustant les niveaux de sensibilité pour différents types de vulnérabilités.
Quels problèmes de sécurité peuvent être détectés ?
La commande /security-review et l'action GitHub vérifient les modèles de vulnérabilité courants :
Risques d'injection SQL : Identifie les vulnérabilités potentielles des requêtes de base de données.
Cross-site scripting (XSS) : Détecte les vulnérabilités d'injection de scripts côté client.
Failles d'authentification et d'autorisation : Trouve les problèmes de contrôle d'accès.
Gestion insécurisée des données : Identifie les problèmes de validation et de désinfection des données.
Vulnérabilités de dépendances : Vérifie les problèmes connus dans les packages tiers.
Commencer
Pour commencer à utiliser les révisions de sécurité automatisées :
Pour la commande
/security-review: Mettez à jour Claude Code vers la dernière version (exécutez), puis exécutez/security-reviewdans le répertoire de votre projet.Claude Code se met à jour automatiquement pour vous assurer que vous disposez des dernières fonctionnalités et correctifs de sécurité, mais vous pouvez également exécuter
claude updatepour mettre à jour manuellement.
Pour les actions GitHub : Visitez notre documentation pour les instructions d'installation et de configuration.
Meilleures pratiques
Pour des résultats optimaux, nous recommandons d'exécuter /security-review avant de valider des modifications importantes et de configurer l'action GitHub pour tous les référentiels contenant du code de production. Envisagez d'ajuster les règles de filtrage en fonction des exigences de sécurité spécifiques de votre équipe et des caractéristiques de votre base de code.