Guide · trois minutes

Les cinq vérifications de sécurité à donner à Claude

Une appli faite avec Claude peut marcher parfaitement et laisser la porte ouverte. Cinq oublis reviennent souvent et aucun ne se voit quand tu l'utilises. Voilà la demande qui les fait vérifier par Claude, sur ton projet.

La demande à coller, comment la lancer sans rien casser, puis quoi faire de ce qu'il te répond.

Tu arrives d'un reel ?

Trois minutes si Claude Code tourne déjà, compte dix minutes la première fois.

En plus de Claude Code, il te faut :

un projet à toi, déjà commencé

Ce guide se fait dans Claude Code, compris dans la formule Claude Pro (la version gratuite ne l'inclut pas). Jamais installé ? Ces quatre leçons gratuites le mettent en place :

Colle cette demande

Ouvre Claude Code dans le dossier de ton projet et colle ceci.

À écrire dans Claude Code

Vérifie la sécurité de ce projet sur ces cinq points. Ne modifie aucun fichier.
Pour chaque point, réponds TIENT ou NE TIENT PAS, avec le fichier et la ligne en cause,
puis la correction en une phrase.
1. Les clés secrètes (celles qui commencent par sk_, les mots de passe) ne sont écrites
nulle part dans le code : elles sont dans un fichier .env qui n'est ni envoyé sur GitHub
ni servi par le site.
2. La base de données ne laisse pas tout le monde tout lire : chaque table (un tableau
de données) a ses règles d'accès. La clé qui donne tous les droits, celle qui contourne
ces règles, n'est jamais dans la page.
3. Un client ne peut pas voir le compte d'un autre en changeant le numéro dans l'adresse :
le numéro vient de sa connexion, pas de l'adresse.
4. Tout ce que tape le visiteur est vérifié par le serveur, pas seulement dans la page.
5. Le site limite le nombre d'essais (connexion, formulaires) pour qu'un robot ne puisse
pas essayer des milliers de mots de passe.
Termine par les points qui ne tiennent pas, du plus grave au moins grave.

Il lit et il constate. Il ne corrige rien tant que tu ne l'as pas décidé.

Tu viens de faire la première étape. La formation fait pareil pour tes devis, tes relances et ton site, leçon par leçon : 29 € une seule fois, accès à vie. Prix de lancement.

Je prends l'accès

Lance-la en mode plan

Avant de coller, appuie sur Maj + Tab jusqu'à lire plan mode on en bas de l'écran. Dans ce mode, Claude lit ton projet et ne modifie aucun fichier. Sur un petit projet, compte quelques minutes.

Le piège

Tester le point 3 sur le compte de quelqu'un d'autre. C'est un accès frauduleux, puni par la loi. Crée-toi deux comptes à toi, sur ton propre site : connecté sur le premier, mets le numéro du second dans l'adresse. Si tu vois ses infos, le point 3 ne tient pas.

Ce qu'il te répond

Pour chaque point : TIENT ou NE TIENT PAS, le fichier, la ligne et la correction. Sur notre projet de test, où on avait posé les cinq défauts exprès, il les a tous trouvés.

Commence par le haut de sa liste finale. Demande-lui de corriger un seul point à la fois, puis relance la même demande pour vérifier.

Une clé a fui

Si une clé secrète était dans ton code, l'effacer ne suffit pas : elle reste dans l'historique de ton projet. Fais-en une nouvelle chez Stripe ou chez Google puis supprime l'ancienne.

Sa réponse n'est pas un audit complet : il vérifie ces cinq points, pas tout. C'est le minimum avant de mettre ton appli entre les mains de clients.

Si tu ne retiens qu'une chose

Cinq points, un constat, une correction à la fois. Et tu ne testes jamais que tes propres comptes.

Offre de lancement

La suite, c'est la formation complète.

82 leçons comme celle-ci, dans l'ordre, de ta première demande à Claude à ton propre site en ligne.
Chaque leçon te donne la phrase exacte à écrire, puis ce que tu dois voir à l'écran.
Des outils pour ton travail : devis, relances, agenda, réseaux, sans coder.
Tu bloques ? Tu réponds au mail de bienvenue et je te débloque.

29 €une seule fois, accès à vie

Prix de lancement : ensuite ce sera 49 €.

Je prends l'accès à vie

Paiement sécurisé par Stripe. Nécessite Claude Pro chez Anthropic (environ 20 € par mois).