Sécuriser son application

Le problème

Demandez à Claude « est-ce que mon code est sécurisé ? » et vous obtiendrez une liste de généralités : « pensez à valider les entrées », « utilisez HTTPS ». Rien qui vous dise si votre application a un trou, ni où.

Ce que fait ce skill

security-audit est développé et maintenu par Cloudflare. Sa règle de départ est la bonne : il cherche des vulnérabilités réellement exploitables, pas des remarques théoriques. Pas de « vous devriez utiliser une bibliothèque plus récente », des « voici comment quelqu'un entre chez vous ».

L'audit se déroule en plusieurs phases :

1. Reconnaissance, il cartographie l'application : par où entrent les données, où sont les points d'authentification, ce qui est exposé.
2. Chasse, plusieurs agents indépendants cherchent en parallèle, chacun sur une classe d'attaque différente (web et authentification, côté client, IA et LLM, sécurité mémoire).
3. Validation, et c'est le point important : chaque faille trouvée est revérifiée indépendamment avant d'être signalée. Sans cette étape, un audit par IA produit surtout des faux positifs qui vous font perdre du temps.
4. Rapport, un REPORT.md lisible, plus un FINDINGS-DETAIL.md qui trace le chemin de la donnée pour chaque faille sérieuse.

Comment s'en servir

Dans le dossier de votre projet :

Fais un audit de sécurité complet de cette application avec le skill security-audit

Il va vous demander où écrire le rapport. Laissez la valeur par défaut si vous n'avez pas de préférence. Comptez plusieurs minutes : il lance plusieurs agents en parallèle, c'est normal.

Ce qu'il trouve le plus souvent sur les projets « vibe-codés »

Sur les applications générées rapidement avec une IA, les mêmes trous reviennent :

• Des clés d'API en dur dans le code front-end. Tout le monde peut les lire. Elles doivent vivre côté serveur, ou dans des variables d'environnement.
• Aucun contrôle d'accès côté serveur. Le bouton « supprimer » est caché dans l'interface pour les non-administrateurs, mais l'API accepte quand même la requête si on l'appelle directement.
• Des politiques de sécurité base de données absentes ou trop permissives. Sur Supabase, une table sans RLS activée est lisible par n'importe qui.

Une remarque honnête

Un audit automatique ne remplace pas un audit humain sur une application qui manipule de l'argent ou des données de santé. Ce skill vous fait passer de « je n'ai jamais regardé » à « j'ai corrigé les trous évidents », ce qui est déjà un énorme pas. Ne le vendez pas à un client comme une certification.

---

Comment installer un skill

Deux options, au choix.

Option 1, le gestionnaire officiel (recommandé)

npx skills add <depot-github>

C'est devenu le standard : la commande va chercher la dernière version chez l'auteur, donc vous n'avez jamais de version périmée. La commande exacte est indiquée plus haut pour ce skill.

Option 2, à la main, depuis cette archive

Copiez le contenu du dossier skills/ de cette archive dans :

• ~/.claude/skills/ pour l'avoir dans tous vos projets
• .claude/skills/ à la racine d'un projet pour l'avoir seulement dans celui-là

Puis relancez Claude Code. Vérifiez avec /doctor que le skill est bien détecté.

---

Ressource vérifiée le 16 août 2026 par Agentic Academy. Un doute, une question ? Posez-la dans la communauté.

D'où ça vient

Ces outils ne sont pas de nous : ils sont publics, et rassemblés ici parce qu'ils marchent. La licence d'origine voyage dans l'archive, comme elle le doit.

Outil	Dépôt	Licence	Installation directe
security-audit	cloudflare/security-audit-skill	MIT	npx skills add cloudflare/security-audit-skill

La commande d'installation est donnée exprès. Une archive téléchargée vieillit ; la commande va chercher la dernière version chez l'auteur. L'archive vous dépanne hors ligne, la commande vous garde à jour.