Utiliser Claude Security

Claude Security est une capacité intégrée à Claude qui surveille continuellement vos bases de code pour détecter les vulnérabilités de sécurité, suit chaque découverte jusqu'à sa correction et suggère des correctifs ciblés pour examen humain. Il aide les équipes à trouver et corriger les problèmes que les méthodes traditionnelles manquent souvent.

Découvrez comment commencer et comment les grandes entreprises utilisent l'outil ici : Prise en main de Claude Security.

Claude Security vous permet de :

Les découvertes se répartissent dans les catégories d'exemple ci-dessous.

Injection (SQL, Commande, Code, XSS) : L'entrée non fiable modifie la structure de la requête ou est exécutée. Par exemple, ' OR 1=1--, ; rm -rf /, <script> dans un commentaire.

Injection (XXE, ReDoS) : Les analyseurs ou les expressions régulières sont abusés par une entrée élaborée. Par exemple, XML <!ENTITY> lisant /etc/passwd.

Chemin et réseau (Traversée de répertoires, SSRF, Redirection ouverte) : L'entrée contrôle les chemins de fichiers, les destinations de requête ou les redirections. Par exemple, ../../etc/passwd, récupération de http://169.254.169.254/.

Authentification et accès (Contournement AuthN, PrivEsc, IDOR/BOLA, CSRF, Race) : Les vérifications d'accès manquent, sont contournables ou sujettes aux conditions de concurrence. Par exemple, GET /orders/123 retourne la commande de quelqu'un d'autre.

Sécurité de la mémoire (Débordement de tampon/entier, UAF, mauvaise utilisation unsafe) : L'entrée écrit au-delà des limites, enveloppe l'arithmétique ou accède à la mémoire libérée. Principalement C/C++/Rust unsafe.

Cryptographie (Fuites de synchronisation, confusion d'algorithme, primitives faibles) : Branches dépendantes du secret, JWT alg=none, ou MD5/SHA-1/DES/ECB dans les chemins de sécurité.

Désérialisation (Instanciation de type arbitraire) : Les octets non fiables pilotent la construction d'objets — pickle, Java readObject, YAML load. Souvent équivalent à RCE.

Protocole et codage (Sécurité du cache, confusion de codage, confiance en préfixe de longueur) : Les couches ne sont pas d'accord ou font confiance aux tailles déclarées. Par exemple, empoisonnement du cache via l'en-tête Host.

La gravité est attribuée par découverte en fonction de son exploitabilité dans votre base de code, et non de la catégorie elle-même — la même catégorie peut donc avoir des niveaux de gravité différents dans différents référentiels. Claude utilise le modèle de menace du projet pour évaluer la gravité.

Chaque découverte contient les champs suivants :

La page claude.ai/security effectue une vérification par utilisateur sur votre compte GitHub connecté, ce qui peut échouer pour vous même si l'installation au niveau de l'organisation fonctionne pour d'autres. Il y a quelques causes possibles :

De quoi ai-je besoin pour utiliser Claude Security ?

Un plan Claude Enterprise actif, un siège premium pour chaque utilisateur et des crédits d'utilisation activés pour la facturation à la consommation. Un propriétaire active Claude Security dans Paramètres de l'organisation > Claude Security. Consultez le guide de prise en main pour les étapes de configuration.

Comment donner à Claude Security l'accès à mes référentiels ?

Pour GitHub.com et GitHub Enterprise Server, un propriétaire installe l'application Claude GitHub et lui accorde l'accès aux référentiels que vous souhaitez analyser. Pour d'autres fournisseurs Git, tels que GitLab et Bitbucket, vous avez besoin de l'adresse du référentiel et d'un jeton d'authentification.

Puis-je analyser des référentiels qui ne sont pas sur GitHub ?

Oui. Les projets peuvent être créés avec des référentiels hébergés sur GitHub.com et GitHub Enterprise Server, ou des référentiels hébergés sur d'autres serveurs Git avec un jeton d'authentification (y compris les serveurs Git auto-hébergés accessibles publiquement).

Quelles adresses IP dois-je autoriser ?

Utilisez le guide Anthropic pour la mise en liste blanche des adresses IP. Si vous utilisez GitHub Enterprise Server ou un autre fournisseur Git, votre instance doit autoriser le trafic entrant à partir de ces adresses IP pour que Claude Security puisse accéder à vos référentiels.

Claude Security prend-il en charge la rétention zéro des données (ZDR) ?

Non. Anthropic peut conserver les données si la loi l'exige ou pour traiter les violations de la politique d'utilisation.

Que se passe-t-il pour mes projets existants avec la dernière mise à jour ?

Les projets existants continuent de fonctionner comme aujourd'hui et sont toujours disponibles à partir de la page d'accueil de Claude Security. Les nouveaux projets utilisent la nouvelle expérience.

Puis-je migrer mes projets existants ?

Oui, si vous êtes propriétaire du projet. Ouvrez-le et cliquez sur "Migrer le projet", ou cliquez sur "Migrer vos projets" sur la page d'accueil de Claude Security pour migrer tous les projets que vous possédez. Claude Security crée un nouveau projet, copie les découvertes dedans et archive l'original. Les membres, webhooks, répertoires exclus, historique des analyses et analyses planifiées ne sont pas copiés. Les projets GitHub Enterprise ne peuvent pas être migrés.

Combien de temps prend la première analyse ?

Selon la taille des référentiels, l'analyse de base peut prendre plusieurs minutes ou heures. Vous pouvez quitter la page pendant qu'elle s'exécute. Si vous avez activé les notifications par e-mail pour Claude Security, vous recevrez un e-mail lorsque l'analyse de votre projet sera terminée et qu'elle aura de nouvelles découvertes.

Combien de temps prend une analyse de suivi ?

Le temps d'analyse varie en fonction du référentiel et des actions de l'agent.

À quelle fréquence Claude analyse-t-il après l'analyse de base ?

Claude vérifie les nouveaux commits et analyse les modifications régulièrement, en fonction de leur risque et de leur complexité. Il n'y a pas d'horaire fixe.

Pourquoi deux analyses du même code peuvent-elles retourner des résultats différents ?

Les analyses sont stochastiques par conception. Contrairement aux analyseurs statiques traditionnels, Claude Security utilise un agent qui adapte son analyse à chaque exécution, en raisonnant sur le contexte du code plutôt que d'appliquer des correspondances de motifs fixes. Cela permet la profondeur d'analyse nécessaire pour détecter les vulnérabilités au niveau de la logique.

Comment dois-je configurer un grand référentiel ou un monorepo ?

Définissez une portée de dossier sur le référentiel plutôt que d'analyser le référentiel complet, et excluez les dossiers dont vous n'avez pas besoin. Claude peut toujours extraire le contexte du reste de la base de code selon les besoins.

Combien de référentiels un projet peut-il avoir ?

Jusqu'à huit. Un référentiel peut être dans la portée, de sorte que Claude l'analyse et signale les découvertes, ou utilisé uniquement pour le contexte, de sorte que Claude le lit pendant les analyses mais ne signale aucune découverte dedans. Les deux comptent vers la limite. Gérez les référentiels d'un projet dans son onglet Ressources.

Comment informer Claude de mon environnement ?

Ouvrez l'onglet Connaissances du projet pour modifier le modèle de menace et ajouter des documents tels que des documents d'architecture. Claude les utilise pour décider ce qu'il faut signaler et comment l'évaluer.

Quels modèles Claude Security utilise-t-il ?

Les analyses Claude Security sont alimentées par le modèle Claude Mythos. Les utilisateurs reçoivent les découvertes sans accès direct au modèle. La discussion de chaque projet avec Claude utilise un modèle que votre équipe choisit parmi ceux que votre organisation autorise. Certains sous-composants de Claude Security peuvent utiliser d'autres modèles lorsque le raisonnement de classe Mythos n'est pas requis, par exemple pour énumérer un répertoire de projet.

Comment la gravité est-elle attribuée et puis-je la modifier ?

Claude évalue chaque résultat par rapport au modèle de menace de votre projet, que votre équipe peut modifier et corriger.

Que faire si un résultat décrit une attaque qui n'est pas possible dans mon environnement ?

Claude rédige le modèle de menace à partir de votre code, il peut donc manquer le contexte de déploiement et les modèles que votre entreprise a acceptés. Dans le chat du projet, dites à Claude pourquoi le résultat est incorrect et demandez-lui de mettre à jour le modèle de menace. Claude utilise le modèle de menace pour décider ce qu'il faut signaler et comment l'évaluer.

Comment corriger un résultat ?

Cliquez sur « Corriger » sur un résultat pour ouvrir Claude Code et corriger cette vulnérabilité spécifique. Sans Claude Code dans le cloud, vous copiez une invite dans votre propre Claude Code.

Comment fonctionne le suivi des corrections ?

Claude revérifie les résultats lorsque le code change dans le référentiel. Un résultat marqué comme corrigé se rouvre automatiquement si Claude trouve à nouveau le problème.

Que se passe-t-il lorsque je rejette un résultat ?

Les résultats rejetés ne réapparaîtront pas dans les analyses futures. Vous pouvez rejeter un résultat comme faux positif, risque accepté, doublon ou pour une autre raison, et ajouter une note de triage.

Comment exporter les résultats vers mes propres outils ?

Pour exporter les résultats dans vos propres systèmes de suivi et de notification, utilisez l'API Claude Security, le connecteur Claude Security ou les webhooks.

Comment utiliser l'API Claude Security ?

Créez un jeton d'accès personnel dans les paramètres Claude Security. Un jeton agit en votre nom : il ne peut voir et modifier que ce que vous pouvez. Avec l'API, vous pouvez lister et lire les projets et les résultats, résoudre et rouvrir les résultats, et créer et gérer les projets et leurs référentiels.

Que peut faire le connecteur Claude Security (MCP) ?

Avec le connecteur Claude Security, Claude et Claude Code peuvent lister et lire vos projets et résultats et résoudre ou rouvrir un résultat à votre demande.

Comment être notifié lorsqu'il y a un nouveau résultat ?

Créez un webhook dans les paramètres Claude Security pour envoyer les événements de nouveaux résultats dans vos propres systèmes, tels que Slack ou Jira.

Comment les administrateurs contrôlent-ils qui peut utiliser Claude Security ?

Les administrateurs peuvent décider quels rôles RBAC peuvent créer des projets et lesquels peuvent afficher, trier ou gérer tous les projets en configurant les capacités dans les rôles personnalisés.

Comment partager un projet et que peut faire chaque rôle ?

Dans un projet, cliquez sur « Partager » pour attribuer un rôle aux membres : Complet (gérer les résultats, les paramètres et l'accès), Triage (afficher les résultats, mettre à jour leur statut et démarrer les corrections) ou Affichage. Vous pouvez également partager un projet avec toute votre organisation.

Combien coûte Claude Security ?

Claude Security est facturé au coût direct des jetons uniquement. Il n'y a pas de frais de plateforme supplémentaires. L'utilisation couvre les analyses et autres travaux que Claude Security effectue dans un projet : rédaction d'un modèle de menace, chat du projet et vérification des corrections.

Comment contrôler et suivre le coût de Claude Security ?

Vous pouvez définir une limite de dépenses distincte pour Claude Security. Ouvrez Utilisation dans les paramètres d'un projet pour voir son coût du mois à ce jour et par jour.

Y a-t-il une offre de lancement pour Claude Security mise à jour ?

Oui, les organisations Claude Enterprise éligibles reçoivent des crédits d'utilisation gratuits jusqu'à 25 000 $ par mois, pendant deux mois, jusqu'au 31 décembre 2026. Conditions complètes de l'offre de lancement ci-dessous.

L'offre de lancement s'applique-t-elle également à l'ancienne expérience ?

Non, l'offre de lancement s'applique uniquement aux projets créés avec la nouvelle expérience.

Qu'est-ce que le plugin Claude Security pour Claude Code ?

Le plugin Claude Security pour Claude Code est une fonctionnalité distincte, basée sur la même technologie que Claude Security. Il est disponible pour les utilisateurs qui souhaitent intégrer directement le scanner dans leurs flux de travail sans dépendre de l'infrastructure d'agent hébergée d'Anthropic, qui ont des exigences de rétention zéro des données (ZDR) ou qui ont besoin d'un accès au modèle via un fournisseur tiers. En savoir plus ici : Analysez votre base de code pour les vulnérabilités.

Le plugin Claude Security pour Claude Code utilise-t-il le même modèle ?

Pas nécessairement. Le plugin utilise les modèles disponibles dans votre compte Claude Code.

Champ d'application : Vous n'utiliserez Claude Security que pour analyser le code que vous ou votre entreprise possédez et pour lequel vous ou votre entreprise détenez tous les droits nécessaires pour l'analyser. Vous n'utiliserez pas Claude Security pour analyser le code appartenant à des tiers ou concédé sous licence par des tiers, y compris, mais sans s'y limiter, les projets open source ou les référentiels autres que ceux inclus dans la ou les bases de code de votre entreprise.

Qui est éligible : Les organisations Claude Enterprise, y compris Claude Enterprise acheté via AWS Marketplace.

Ce que vous obtenez : Jusqu'à 25 000 $ en crédits promotionnels pour l'utilisation de Claude Security dans chacun de deux mois consécutifs. Chaque mois s'étend de la date de début de votre organisation à la même date le mois suivant. Les crédits inutilisés d'un mois ne sont pas reportés.

Comment l'obtenir : Aucune inscription n'est nécessaire. Les crédits s'appliquent automatiquement à l'utilisation dans le nouveau Claude Security. L'utilisation dans les projets de la version antérieure n'est pas couverte jusqu'à leur migration.

Quand cela commence : Les organisations qui ont déjà Claude Enterprise commencent le 21 octobre 2026. Les organisations qui s'inscrivent à Claude Enterprise après cette date commencent le jour de leur inscription. Les deux mois s'écoulent que votre organisation utilise ou non Claude Security.

Quand cela se termine : L'offre se termine à la fin de la journée le 31 décembre 2026 (UTC), même si vos deux mois ne sont pas terminés. Les organisations qui s'inscrivent après le 1er novembre 2026 n'obtiendront pas deux mois complets.

Comment les crédits s'appliquent : Les crédits sont utilisés avant les dépenses engagées ou les crédits d'utilisation de votre organisation, et sont distincts de tout crédit d'utilisation prépayé. Après l'utilisation des crédits ou la fin de l'offre, l'utilisation de Claude Security est facturée au coût direct des jetons.

Où le voir : Les administrateurs de l'organisation peuvent voir le solde promotionnel dans Paramètres de l'organisation > Utilisation, sous Services, ou dans Paramètres de l'organisation > Claude Security, sous Limite de dépenses.

Les Conditions de l'offre de crédit promotionnel Claude s'appliquent également, y compris quand les crédits peuvent être perdus et quand l'offre peut changer. S'ils diffèrent de cet article sur cette offre, cet article prévaut.