Guide · quatre minutes

Tes failles vérifiées : le skill de sécurité de Cloudflare

Une faille, c'est un trou par où quelqu'un peut entrer dans ton appli ou lire ce qu'il ne devrait pas. Quand tu demandes à Claude de les chercher, sa liste mélange des vraies et des fausses. Le skill de sécurité de Cloudflare (un skill est un mode d'emploi que Claude Code suit à la lettre) fait chercher plusieurs Claude, puis donne chaque faille à un Claude tout neuf chargé de prouver qu'elle n'existe pas.

La commande pour l'installer, la phrase qui lance l'audit, où lire le rapport, puis quoi faire des failles confirmées et des failles à vérifier. Sur téléphone, garde ce guide ouvert et fais les gestes sur ton ordinateur.

Tu arrives d'un reel ?

Quatre minutes si Claude Code tourne déjà, compte vingt minutes la première fois (sans compter l'audit lui-même).

En plus de Claude Code, il te faut :

Node : gratuit, la version marquée LTS
le dossier de ton appli, sur ton ordinateur

Ce guide se fait dans Claude Code, compris dans la formule Claude Pro (la version gratuite ne l'inclut pas). Jamais installé ? Ces quatre leçons gratuites le mettent en place :

Installe le skill

Le temps et le coût

Il lance beaucoup de Claude : plusieurs chercheurs, puis un Claude neuf par faille trouvée, puis d'autres pour relire le rapport. La notice ne donne ni durée ni prix. Compte une longue séance et une bonne part de ta limite Claude (ou de ton crédit si tu paies à l'usage). Lance-le quand tu n'as pas besoin de Claude pour autre chose.

Ouvre le terminal, la fenêtre où l'on tape des commandes. Sur Windows : touche Windows, tape PowerShell, Entrée. Sur Mac : Commande + Espace, tape Terminal, Entrée.

La commande a besoin de Node, un programme gratuit (nodejs.org, version LTS). Pour savoir s'il est déjà là, tape cette ligne dans le terminal puis Entrée. Un numéro de version s'affiche ? C'est bon.

Dans le terminal

node -v

Colle ensuite cette ligne dans le terminal, puis Entrée. Elle va chercher le skill chez Cloudflare et l'installe.

Dans le terminal

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

Elle peut te poser des questions : réponds avec les flèches et Entrée. Pour l'outil, choisis Claude Code. Pour le reste, garde ce qu'elle propose.

Lance l'audit dans le dossier de ton appli

Dans le terminal, tape cd suivi d'un espace, glisse le dossier de ton appli dans la fenêtre (son chemin s'écrit tout seul), puis Entrée. Tu es maintenant dans ton appli.

Ouvre Claude Code : tape claude puis Entrée. Quand Claude Code est ouvert, colle cette phrase, celle que donne la notice du skill (« fais un audit de sécurité de ce code ») :

Dans Claude, une commande

security audit this codebase

Tu lis « claude n'est pas reconnu » ? Claude Code n'est pas encore installé : fais d'abord cette leçon, puis reviens ici.

Claude Code te demandera parfois la permission de lancer une commande ou d'écrire un fichier. Lis chaque demande avant de dire oui. Le rapport s'écrit hors de ton appli, dans un dossier à ton nom.

Le piège

Ne le lance que sur ton code à toi. Chercher les failles de l'appli de quelqu'un d'autre sans son accord, c'est déjà une attaque.

Lis le rapport

À la fin, il te donne le chemin du rapport. Sans autre consigne, c'est le dossier security-audit-skill de ton dossier personnel, puis le nom de ton appli, puis run-1 pour le premier passage. Trois fichiers t'intéressent :

Le fichier	Ce qu'il contient
REPORT.md	Le résumé : ce qui a été regardé et ce qui a été trouvé
FINDINGS-DETAIL.md	Les failles confirmées, avec le chemin dans ton code
NEEDS-VALIDATION.md	Les failles à vérifier, avec le fait précis qui manque

Celui qui vérifie une faille n'est jamais celui qui l'a trouvée.

Les failles rejetées sont celles que le Claude neuf a réussi à démonter. Il n'y a rien à en faire.

Corrige les confirmées, puis vérifie les autres

Commence par les confirmées. Dans Claude Code, colle cette phrase et remplace la partie entre crochets par le chemin du rapport :

Dans Claude, une commande

Lis le chemin de FINDINGS-DETAIL.md.
Corrige la première faille confirmée, une seule.
Explique-moi en deux phrases ce que tu changes, puis attends mon accord.

Une faille corrigée, passe à la suivante. Après chaque correction, vérifie que ton appli marche encore.

Ensuite les failles « à vérifier ». Ce ne sont ni des vraies ni des fausses : il manque un fait précis pour trancher, souvent parce qu'il aurait fallu faire tourner ton appli dans un bac à sable (un espace fermé où le code ne peut rien abîmer). Ne les corrige pas à l'aveugle. Demande d'abord :

Dans Claude, une commande

Lis le chemin de NEEDS-VALIDATION.md.
Pour la première faille, dis-moi le fait qui manque et comment je peux le vérifier moi-même.
Ne modifie rien.

Si la réponse te dépasse, garde la faille dans ta liste et montre-la à quelqu'un qui code avant de mettre ton appli en ligne.

Relance-le

Dans les essais de Cloudflare, un seul passage a trouvé environ la moitié des failles trouvées en plusieurs passages. Après tes corrections, relance la même phrase : il repart du rapport précédent et cherche là où il n'a pas encore regardé.

Pour aller plus loin

La notice donne aussi l'option --global, qui installe le skill pour tous tes dossiers d'un coup. Nous ne l'avons pas essayée.

Dans le terminal

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit --global

Si ça a marché, tu as fait le premier pas. La formation fait pareil pour tes devis, tes relances et ton site, leçon par leçon : 29 € une seule fois, accès à vie. Prix de lancement.

Je prends l'accès

Si tu ne retiens qu'une chose

Une ligne pour l'installer, une phrase pour lancer l'audit, les confirmées d'abord. Essaie-le sur ton plus petit projet avant ton appli principale.

Offre de lancement

La suite, c'est la formation complète.

82 leçons comme celle-ci, dans l'ordre, de ta première demande à Claude à ton propre site en ligne.
Chaque leçon te donne la phrase exacte à écrire, puis ce que tu dois voir à l'écran.
Des outils pour ton travail : devis, relances, agenda, réseaux, sans coder.
Tu bloques ? Tu réponds au mail de bienvenue et je te débloque.

29 €une seule fois, accès à vie

Prix de lancement : ensuite ce sera 49 €.

Je prends l'accès à vie

Paiement sécurisé par Stripe. Nécessite Claude Pro chez Anthropic (environ 20 € par mois).