Claude Code inclut désormais des fonctionnalités de révision de sécurité automatisées pour vous aider à identifier et corriger les vulnérabilités dans votre code. Ce guide explique comment utiliser la commande /security-review et GitHub Actions pour améliorer la sécurité de votre code.
Remarque : Bien que les révisions de sécurité automatisées aident à identifier de nombreuses vulnérabilités courantes, elles doivent compléter, et non remplacer, vos pratiques de sécurité existantes et vos révisions manuelles de code.
Aperçu
Les révisions de sécurité automatisées dans Claude Code aident les développeurs à détecter les vulnérabilités avant qu'elles n'atteignent la production. Ces fonctionnalités vérifient les problèmes de sécurité courants, notamment les risques d'injection SQL, les vulnérabilités de script inter-sites (XSS), les failles d'authentification, la gestion non sécurisée des données et les vulnérabilités de dépendances.
Vous pouvez utiliser les révisions de sécurité de deux façons : via la commande /security-review pour des vérifications à la demande dans votre terminal, ou via GitHub Actions pour une révision automatique des demandes de tirage (pull requests).
Disponibilité
Ces fonctionnalités sont disponibles pour tous les utilisateurs de Claude Code, notamment :
Les utilisateurs avec des plans payants individuels (Pro ou Max).
Les utilisateurs individuels ou les entreprises avec des comptes API Console à la carte.
Utilisation de la commande /security-review
La commande /security-review vous permet d'exécuter une analyse de sécurité directement depuis votre terminal avant de valider le code.
Exécution d'une révision de sécurité
Pour vérifier les vulnérabilités dans votre code :
Ouvrez Claude Code dans le répertoire de votre projet.
Exécutez /security-review dans le terminal.
Claude analysera votre base de code et identifiera les préoccupations de sécurité potentielles.
Examinez les explications détaillées fournies pour chaque problème trouvé.
Implémentation des corrections
Après que Claude ait identifié les vulnérabilités, vous pouvez lui demander d'implémenter les corrections directement. Cela maintient les révisions de sécurité intégrées dans votre flux de travail de développement, vous permettant de traiter les problèmes quand ils sont le plus faciles à résoudre.
Personnalisation de la commande
Vous pouvez personnaliser la commande /security-review selon vos besoins spécifiques. Consultez la documentation de révision de sécurité pour les options de configuration.
Configuration de GitHub Actions pour les révisions automatisées de PR
Après avoir installé et configuré l'action GitHub, elle révisera automatiquement chaque demande de tirage pour les vulnérabilités de sécurité lors de son ouverture.
Installation
Pour configurer les révisions de sécurité automatisées pour votre dépôt :
Naviguez vers les paramètres GitHub Actions de votre dépôt
Suivez le guide d'installation étape par étape dans notre documentation
Configurez l'action selon les exigences de sécurité de votre équipe
Comment ça fonctionne
Une fois configurée, l'action GitHub :
Se déclenche automatiquement lorsque de nouvelles demandes de tirage sont ouvertes.
Révise les modifications de code pour les vulnérabilités de sécurité.
Applique des règles de filtrage personnalisables pour réduire les faux positifs.
Publie des commentaires en ligne sur la PR avec les préoccupations identifiées et les corrections recommandées.
Cela crée un processus de révision de sécurité cohérent dans toute votre équipe, garantissant que le code est vérifié pour les vulnérabilités avant la fusion.
Options de personnalisation
Vous pouvez personnaliser l'action GitHub pour correspondre aux politiques de sécurité de votre équipe, notamment en définissant des règles spécifiques pour votre base de code et en ajustant les niveaux de sensibilité pour différents types de vulnérabilités.
Quels problèmes de sécurité peuvent être détectés ?
La commande /security-review et l'action GitHub vérifient toutes deux les modèles de vulnérabilités courants :
Risques d'injection SQL : Identifie les vulnérabilités potentielles des requêtes de base de données.
Script inter-sites (XSS) : Détecte les vulnérabilités d'injection de script côté client.
Failles d'authentification et d'autorisation : Trouve les problèmes de contrôle d'accès.
Gestion non sécurisée des données : Identifie les problèmes de validation et d'assainissement des données.
Vulnérabilités de dépendances : Vérifie les problèmes connus dans les packages tiers.
Commencer
Pour commencer à utiliser les révisions de sécurité automatisées :
Pour la commande /security-review : Mettez à jour Claude Code vers la dernière version (exécutez), puis exécutez
/security-reviewdans le répertoire de votre projet.Claude Code se maintient automatiquement à jour pour s'assurer que vous avez les dernières fonctionnalités et corrections de sécurité, mais vous pouvez aussi exécuter
claude updatepour mettre à jour manuellement.
Pour les actions GitHub : Visitez notre