Workflow de revue sécurité avec agent IA
Utilise un agent IA pour revoir auth, autorisations, inputs, secrets et changements de paiement avant livraison.
Reponse rapide
Un agent de revue sécurité doit vérifier sources d'identité, ownership des objets, validation, secrets, logs et effets billing avant validation.
Workflow
Scanne routes et actions modifiées, vérifie les user IDs issus de session, inspecte les inputs externes, cherche les secrets exposés et confirme les tests user-scoped.
Vérification du risque
La revue sécurité échoue quand l'agent commente seulement le style et rate IDOR, accès env dangereux ou appels externes non bornés.
FAQ
Un agent IA peut-il faire une revue sécurité ?
Il peut trouver beaucoup de problèmes répétables, mais les changements risqués demandent encore jugement humain explicite et tests ciblés.
Revoir la sécurité avec agents
Guides associés
CLAUDE.md : le guide de tout développeur
Un fichier markdown pour donner à Claude Code les conventions réelles de ton codebase et obtenir du code cohérent dès la première session.
Claude Code peut écrire du code propre dans un projet, puis sortir du code générique dans le suivant. Dans mon expérience, la différence vient souvent de CLAUDE.md . C'est le fichier qui évite de répéter les mêmes conventions à chaque session, et c'est une grosse partie de mon gain avec Claude Code. Ce que c'est CLAUDE.md est un fichier markdown que Claude Code lit au début de chaque session. Pense y comme le doc d'onboarding que tu donnerais à un prestataire senior le premier jour : stack, conventions, règles, contexte. Sans ça, Claude infère les patterns depuis ce qu'il voit dans le codebase. Parfois il tombe juste. Souvent non, surtout pour les conventions implicites que ton équipe connaît sans les avoir écrites. Avec un bon CLAUDE.md , Claude produit du code qui suit tes règles sans avoir besoin de le répéter à chaque fois. Quoi y mettre 1. Stack et…
Lire le guideMes 5 hooks Claude Code utiles
Les hooks Claude Code lancent des commandes au bon moment : démarrage de session, écriture de fichier, appel d'outil. Voici ceux que je garde activés.
La plupart des gens arrivent sur Claude Code pour l'agent. Ils découvrent les hooks plus tard, alors que c'est souvent là que le setup devient sérieux. Un hook est une commande qui s'exécute quand un événement arrive dans ta session : démarrage, appel d'outil, écriture de fichier, arrêt de Claude. Tu les définis dans .claude/settings.json . Ensuite ils tournent en arrière plan. Voici ceux que je garde dans mon setup. À quoi ressemblent les hooks Les événements disponibles : SessionStart , UserPromptSubmit , PreToolUse , PostToolUse , Stop . Hook 1 : injection automatique de la date Événement : UserPromptSubmit Claude n'a pas de conscience du temps réel. Chaque prompt reçoit automatiquement la date du jour. Utile pour tout ce qui est sensible au temps : changelogs, deadlines, logique de planification. Hook 2 : notification push quand Claude s'arrête Événement : Stop Les longues tâches (refactos, exécution de tests, analyses)…
Lire le guideClaude Code Agents: When to Use Them
Claude Code Agents (subagents) let you spawn isolated work threads from the main session. Full guide: what they are, when to use them, how to write a custom one, and the patterns that actually ship.
Claude Code is great when you're driving one thread of work. When you need to run three threads in parallel, or want a fresh pair of eyes on a decision, or need to scope out a large refactor without polluting your main session that's what Agents are for. This is what Claude Code Agents actually are, when to use them, and how to write your own. What Claude Code Agents actually are An Agent (sometimes called a subagent) is an isolated work thread you spawn from the main Claude Code session via the Agent tool. It has its own context fresh, with no visibility into your conversation. You hand it a self contained prompt; it does the work; it returns a single message at the end. Three things make this different from just asking Claude another question: 1. Isolated context. The agent doesn't see what you've been doing. It can't…
Lire le guide