Primeros pasos con Claude Security



Claude Security es una capacidad integrada en Claude.ai que vigila continuamente tus bases de código en busca de vulnerabilidades de seguridad, hace seguimiento de cada hallazgo hasta que se corrige y sugiere parches de software específicos para que los revises, lo que te permite a ti y a tu equipo encontrar y corregir problemas de seguridad que los métodos tradicionales a menudo pasan por alto. Es una función beta disponible para cuentas de Claude Enterprise.

La mayoría de los equipos de ingeniería no cuentan con las horas de revisión ni las habilidades necesarias para identificar vulnerabilidades sofisticadas en cada cambio, y muchos problemas son fáciles de pasar por alto sin una mentalidad centrada en la seguridad. Claude Security ayuda a cerrar esa brecha: escanea tu base de código, destaca los problemas que realmente importan y propone parches que tú o tu equipo pueden revisar y aplicar. Claude Security funciona con toda nuestra familia de modelos, incluido Claude Mythos, sin necesidad de acceso al Cyber Verification Program.

Esta guía cubre todo lo que necesitas para configurar Claude Security, crear tu primer Proyecto, revisar los hallazgos y encontrar consejos para el uso continuo.

Requisitos previos

Antes de poder usar Claude Security, deben cumplirse los siguientes requisitos:

• Planes elegibles: Tu organización debe tener una cuenta activa de Claude Enterprise.
• Acceso a tus repositorios:
  • Para repositorios en GitHub, tu administrador debe haber instalado la app de Claude para GitHub y haberle otorgado acceso a los repositorios que deseas escanear, y cada persona que agregue un repositorio debe conectar su propia cuenta de GitHub a Claude. Esta es la misma app de Claude para GitHub que se usa para Claude Code in the cloud.
  • Para GitHub Enterprise Server, la app debe estar instalada en tu instancia de GHES, y esa instancia ya debe estar conectada a Claude Code in the cloud.
• Para repositorios alojados en otros proveedores de Git (p. ej., GitLab, BitBucket, etc.), necesitas la dirección del repositorio y un token de autenticación.
• Permiso para crear Proyectos: Los administradores pueden decidir qué roles de RBAC pueden crear proyectos de Claude Security.
• Puestos de usuario: Cada persona que usa Claude Security necesita un puesto que incluya Claude Code (qué puestos lo incluyen).
• Claude Code in the cloud (opcional): Permite a los usuarios ejecutar las correcciones sugeridas con Claude Code in the cloud. Sin él, copian un prompt en su propio Claude Code.

Configuración

Si tu organización ya usa Claude Code in the cloud, la mayor parte de la configuración ya está completa. Esto es lo que debes confirmar:

1. Revisa la facturación. Los escaneos se cobran al costo directo de los tokens, sin ninguna tarifa de plataforma adicional. Si tu plan tiene puestos Standard y Premium, primero activa los créditos de uso (cómo). En otros planes Enterprise, consulta ¿Cómo se me factura mi plan Enterprise?. Los costos escalan con el tamaño de tus repositorios y la frecuencia con la que cambian, así que establece límites de gasto que se ajusten a tu uso esperado. Después de habilitar Claude Security, también puedes establecer un límite de gasto independiente para la función.
2. Dale a Claude acceso a tus repositorios de GitHub. Instala la app de Claude para GitHub en los repositorios que deseas escanear (en una organización de GitHub, es posible que un propietario de esa organización deba aprobarla) y activa el GitHub connector en Organization settings > Connectors. Para GitHub Enterprise Server, sigue la guía de GitHub Enterprise Server. Para repositorios alojados en otros servidores de Git, crea un token de autenticación para los repositorios que planeas agregar.
3. Habilita la función Claude Security en la consola de administración: http://claude.ai/admin-settings/claude-security
4. Configura el acceso y las capacidades. Los administradores pueden decidir qué roles de RBAC pueden crear proyectos y quién puede ver, triar o administrar todos los proyectos configurando las capacidades en roles personalizados.
5. Habilita Claude Code in the cloud (opcional). Esto permite a los usuarios ejecutar correcciones en la nube. De lo contrario, es opcional.

Cada persona que usa Claude Security también conecta su propia cuenta de GitHub a Claude (cómo comprobarlo).

Crear un Proyecto

Una vez que Claude Security esté habilitado, crear un Proyecto es sencillo:

1. Navega a Claude Security a través de Claude.ai. Ve a claude.ai y haz clic en el ícono de Seguridad en la barra lateral izquierda, o en claude.ai/security.
2. Haz clic en “New project” y asígnale un nombre. Un Proyecto es la unidad de control de acceso y facturación.
3. Agrega repositorios. Conecta hasta ocho repositorios de GitHub u otros proveedores de Git. Para cada repositorio, opcionalmente puedes establecer una rama, un alcance de carpeta y carpetas excluidas.
4. Agrega lo que el código no puede mostrar (opcional). Indícale a Claude cómo se despliega tu código, quién puede acceder a él y qué riesgos has aceptado, como notas o como documentos, por ejemplo, documentos de arquitectura. Puedes editarlos más adelante.
5. Crea el Proyecto. Haz clic en “Create project”. Claude lee el código, escribe un modelo de amenazas y ejecuta un escaneo de referencia profundo. Dependiendo del tamaño de los repositorios, el escaneo de referencia puede tardar varios minutos u horas, y puedes salir de la página mientras se ejecuta.
6. Revisa los hallazgos. Los hallazgos aparecen en la pestaña Findings del Proyecto a medida que Claude los informa, con detalles que incluyen el tipo de vulnerabilidad, la gravedad, el archivo y la línea afectados, y una descripción del problema.

Después, Claude comprueba si hay nuevos commits y escanea continuamente en busca de vulnerabilidades.

Revisar y actuar sobre los hallazgos

La pestaña Findings de un Proyecto muestra sus hallazgos abiertos. Tienes varias opciones para cada hallazgo:

• Revisar detalles. Cada hallazgo incluye una descripción de la vulnerabilidad, las ubicaciones del código afectado, la evidencia y el razonamiento que lo respaldan, y una solución sugerida. También puedes preguntarle a Claude sobre un hallazgo en el chat del Proyecto.
• Iniciar una corrección. Haz clic en “Fix” en un hallazgo para abrir Claude Code y corregir esa vulnerabilidad específica.
• Triar un hallazgo. Márcalo como corregido, o descártalo como falso positivo, riesgo aceptado, duplicado o por otro motivo.
• Hacer seguimiento de las correcciones. Claude compara los hallazgos abiertos con el código que cambió y los marca como corregidos cuando se incorpora la corrección. Un hallazgo marcado como corregido se reabre automáticamente si Claude vuelve a encontrar el problema más adelante.
• Exportar hallazgos. Para exportar hallazgos a tus propios sistemas de seguimiento y notificación, usa la Claude Security API, el conector de Claude Security o webhooks.

Los hallazgos se clasifican por gravedad para ayudarte a priorizar tus esfuerzos de remediación. Recomendamos comenzar con los elementos de mayor gravedad y avanzar por la lista.

Consejos para el uso continuo

Estos consejos facilitan el uso continuo.

Configurar Proyectos

• Agrupa los repositorios relacionados en un Proyecto: Crea un Proyecto por servicio o por equipo para que los hallazgos sigan siendo atribuibles y los revisores no tengan que revisar resultados que pertenecen a otra persona. Coloca los repositorios que funcionan juntos, como un backend y su aplicación cliente, en el mismo Proyecto para que Claude pueda rastrear problemas entre ellos. Un Proyecto puede contener hasta ocho repositorios de GitHub u otros proveedores de Git.
• Delimita repositorios grandes: Para repositorios grandes y monorepos, establece un alcance de carpeta en cada repositorio y excluye las carpetas que no necesitas cubrir. Un alcance más reducido aumenta el determinismo y enfoca la atención de Claude. Aun así, Claude puede seguir la lógica y extraer contexto de toda la base de código más amplia, incluidas las carpetas excluidas, según sea necesario.
• Agrega lo que el código no puede mostrar: Indícale a Claude cómo se despliega tu código, quién puede acceder a él y qué riesgos has aceptado. Claude guarda esto en el modelo de amenazas de cada Proyecto y lo usa para decidir qué señalar y cómo calificarlo. Para leer y editar el modelo de amenazas o agregar documentos, como documentos de arquitectura, abre la pestaña Resources del Proyecto. Las personas con el rol Full pueden editarlos.

Triar y colaborar

• Agrega un motivo y una nota al triar: Al triar un hallazgo, elige el motivo y agrega una nota de triaje para crear un rastro de auditoría y dar contexto a futuros revisores. Claude también lee las notas de los hallazgos descartados y las usa para el Proyecto. Además, cada hallazgo conserva un historial (History) de quién lo modificó y cuándo, para fines de auditoría y cumplimiento.

• Comparte Proyectos con tus compañeros de equipo: En un Proyecto, haz clic en Share para asignar un rol a miembros específicos:

  • Full: administrar hallazgos, configuración y quién tiene acceso
  • Triage: ver hallazgos, actualizar su estado e iniciar correcciones
  • View: simplemente mantenerse al tanto

  También puedes compartir un Proyecto con toda tu organización.

Conectar tus herramientas

• Lleva los hallazgos a tus sistemas con la API: Crea un token de acceso personal en la configuración de Claude Security. Luego, usa la Claude Security API para llevar los hallazgos a tus herramientas de tickets, gestión de vulnerabilidades e informes, y para resolverlos desde ahí, de modo que el triaje y el estado convivan junto con todo lo demás que usa el equipo.
• Corrige y resuelve en una sola sesión con el conector: Con el conector de Claude Security, los ingenieros pueden abrir un hallazgo en Claude o Claude Code, corregirlo y resolverlo en la misma sesión.
• Alerta a tu equipo con webhooks: Crea webhooks en la configuración de Claude Security para enviar eventos de nuevos hallazgos a tus propios sistemas en tiempo real. Conéctalos a herramientas como Slack o Jira para que el triaje pueda comenzar sin que nadie tenga que revisar el panel.

Administrar costos y acceso

• Haz seguimiento del costo de cada Proyecto: En la configuración de un Proyecto, abre Usage para ver su costo en lo que va del mes y por día.
• Extiende el uso a más equipos con roles personalizados: Los administradores pueden usar roles personalizados para decidir qué roles de RBAC pueden crear Proyectos y quién puede ver, triar o administrar todos los Proyectos.