Premiers pas avec Claude Security



Claude Security est une fonctionnalité intégrée à Claude.ai qui surveille en continu vos bases de code à la recherche de vulnérabilités de sécurité, suit chaque résultat jusqu'à sa correction et propose des correctifs logiciels ciblés à examiner, vous permettant, à vous et à votre équipe, de trouver et de corriger des problèmes de sécurité que les méthodes traditionnelles manquent souvent. Il s'agit d'une fonctionnalité bêta disponible pour les comptes Claude Enterprise.

La plupart des équipes d'ingénierie ne disposent pas des heures de relecture ni des compétences nécessaires pour identifier des vulnérabilités sophistiquées à chaque modification, et de nombreux problèmes sont faciles à manquer sans un état d'esprit axé sur la sécurité. Claude Security aide à combler cet écart : il analyse votre base de code, met en évidence les problèmes qui comptent réellement, et propose des correctifs que vous ou votre équipe pouvez examiner et appliquer. Claude Security repose sur l'ensemble de notre gamme de modèles, y compris Claude Mythos, sans nécessiter d'accès au Cyber Verification Program.

Ce guide couvre tout ce dont vous avez besoin pour configurer Claude Security, créer votre premier projet, examiner les résultats et trouver des conseils pour une utilisation continue.

Prérequis

Avant de pouvoir utiliser Claude Security, les exigences suivantes doivent être en place :

• Forfaits éligibles : Votre organisation doit disposer d'un compte Claude Enterprise actif.
• Accès à vos dépôts :
  • Pour les dépôts sur GitHub, votre administrateur doit avoir installé l'application GitHub Claude et lui avoir accordé l'accès aux dépôts que vous souhaitez analyser, et chaque personne qui ajoute un dépôt doit connecter son propre compte GitHub à Claude. Il s'agit de la même application GitHub Claude utilisée pour Claude Code in the cloud.
  • Pour GitHub Enterprise Server, l'application doit être installée sur votre instance GHES, et cette instance doit déjà être connectée à Claude Code in the cloud.
• Pour les dépôts hébergés sur d'autres fournisseurs Git (par ex. GitLab, BitBucket, etc.), vous avez besoin de l'adresse du dépôt et d'un jeton d'authentification.
• Autorisation de créer des projets : Les administrateurs peuvent décider quels rôles RBAC peuvent créer des projets Claude Security.
• Sièges utilisateur : Chaque personne qui utilise Claude Security a besoin d'un siège qui inclut Claude Code (quels sièges l'incluent).
• Claude Code in the cloud (facultatif) : Permet aux utilisateurs de lancer les corrections suggérées avec Claude Code in the cloud. Sans cela, ils copient une requête dans leur propre Claude Code.

Configuration

Si votre organisation utilise déjà Claude Code in the cloud, la majeure partie de la configuration est déjà effectuée. Voici ce que vous devez confirmer :

1. Vérifiez la facturation. Les analyses sont facturées au coût direct des jetons, sans frais de plateforme supplémentaires. Si votre forfait comprend des sièges Standard et Premium, activez d'abord les crédits d'utilisation (comment faire). Pour les autres forfaits Enterprise, consultez Comment suis-je facturé pour mon forfait Enterprise ?. Les coûts évoluent en fonction de la taille de vos dépôts et de la fréquence à laquelle ils changent, définissez donc des limites de dépenses adaptées à votre utilisation prévue. Une fois Claude Security activé, vous pouvez également définir une limite de dépenses distincte pour la fonctionnalité.
2. Donnez à Claude l'accès à vos dépôts GitHub. Installez l'application GitHub Claude sur les dépôts que vous souhaitez analyser (sur une organisation GitHub, il se peut qu'un propriétaire de cette organisation doive l'approuver), et activez le GitHub connector dans Organization settings > Connectors. Pour GitHub Enterprise Server, suivez le guide GitHub Enterprise Server. Pour les dépôts hébergés sur d'autres serveurs Git, créez un jeton d'authentification pour les dépôts que vous prévoyez d'ajouter.
3. Activez la fonctionnalité Claude Security dans la console d'administration : http://claude.ai/admin-settings/claude-security
4. Configurez l'accès et les capacités. Les administrateurs peuvent décider quels rôles RBAC peuvent créer des projets et qui peut consulter, trier ou gérer tous les projets en configurant les capacités dans les rôles personnalisés.
5. Activez Claude Code in the cloud (facultatif). Cela permet aux utilisateurs de lancer les corrections dans le cloud. Sinon, cette étape est facultative.

Chaque personne qui utilise Claude Security connecte également son propre compte GitHub à Claude (comment vérifier).

Créer un projet

Une fois Claude Security activé, la création d'un projet est simple :

1. Accédez à Claude Security via Claude.ai. Rendez-vous sur claude.ai et cliquez sur l'icône Sécurité dans la barre latérale gauche, ou sur claude.ai/security.
2. Cliquez sur « New project » et donnez-lui un nom. Un projet est l'unité de contrôle d'accès et de facturation.
3. Ajoutez des dépôts. Connectez jusqu'à huit dépôts depuis GitHub ou d'autres fournisseurs Git. Pour chaque dépôt, vous pouvez éventuellement définir une branche, un périmètre de dossier et des dossiers exclus.
4. Ajoutez ce que le code ne peut pas montrer (facultatif). Indiquez à Claude comment votre code est déployé, qui peut y accéder et quels risques vous avez acceptés, sous forme de notes ou de documents tels que des documents d'architecture. Vous pouvez les modifier plus tard.
5. Créez le projet. Cliquez sur « Create project ». Claude lit le code, rédige un modèle de menaces et exécute une analyse de référence approfondie. Selon la taille des dépôts, l'analyse de référence peut prendre plusieurs minutes ou plusieurs heures, et vous pouvez quitter la page pendant son exécution.
6. Examinez les résultats. Les résultats apparaissent dans l'onglet Findings du projet à mesure que Claude les signale, avec des détails tels que le type de vulnérabilité, la gravité, le fichier et la ligne concernés, ainsi qu'une description du problème.

Ensuite, Claude vérifie s'il y a de nouveaux commits et effectue en continu des analyses de vulnérabilités.

Examiner les résultats et agir en conséquence

L'onglet Findings d'un projet répertorie ses résultats ouverts. Vous disposez de plusieurs options pour chaque résultat :

• Examinez les détails. Chaque résultat comprend une description de la vulnérabilité, les emplacements du code concernés, les preuves et le raisonnement sur lesquels il repose, ainsi qu'un correctif suggéré. Vous pouvez également interroger Claude sur un résultat dans le chat du projet.
• Lancez une correction. Cliquez sur « Fix » sur un résultat pour ouvrir Claude Code et corriger cette vulnérabilité spécifique.
• Triez un résultat. Marquez-le comme corrigé, ou rejetez-le comme faux positif, risque accepté ou doublon, ou pour un autre motif.
• Suivez les corrections. Claude vérifie les résultats ouverts par rapport au code modifié et les marque comme corrigés lorsque le correctif est intégré. Un résultat marqué comme corrigé est automatiquement rouvert si Claude détecte à nouveau le problème par la suite.
• Exportez les résultats. Pour exporter les résultats vers vos propres systèmes de suivi et de notification, utilisez la Claude Security API, le connecteur Claude Security ou des webhooks.

Les résultats sont classés par gravité pour vous aider à prioriser vos efforts de remédiation. Nous recommandons de commencer par les éléments de gravité la plus élevée et de parcourir la liste.

Conseils pour une utilisation continue

Ces conseils facilitent une utilisation continue.

Configurer les projets

• Regroupez les dépôts liés dans un même projet : Créez un projet par service ou par équipe afin que les résultats restent attribuables et que les relecteurs n'aient pas à parcourir des résultats appartenant à quelqu'un d'autre. Placez les dépôts qui fonctionnent ensemble, comme un backend et son application cliente, dans le même projet afin que Claude puisse suivre les problèmes de l'un à l'autre. Un projet peut contenir jusqu'à huit dépôts provenant de GitHub ou d'autres fournisseurs Git.
• Délimitez les dépôts volumineux : Pour les dépôts volumineux et les monorepos, définissez un périmètre de dossier sur chaque dépôt et excluez les dossiers que vous n'avez pas besoin de couvrir. Un périmètre plus restreint augmente le déterminisme et concentre l'attention de Claude. Claude peut néanmoins suivre la logique et récupérer du contexte dans l'ensemble de la base de code plus large, y compris les dossiers exclus, si nécessaire.
• Ajoutez ce que le code ne peut pas montrer : Indiquez à Claude comment votre code est déployé, qui peut y accéder et quels risques vous avez acceptés. Claude conserve ces informations dans le modèle de menaces de chaque projet et s'en sert pour décider quoi signaler et comment l'évaluer. Pour lire et modifier le modèle de menaces ou ajouter des documents tels que des documents d'architecture, ouvrez l'onglet Resources du projet. Les personnes disposant du rôle Full peuvent les modifier.

Trier et collaborer

• Indiquez un motif et une note lors du tri : Lorsque vous triez un résultat, choisissez le motif et ajoutez une note de tri afin de créer une trace d'audit et d'apporter du contexte aux futurs relecteurs. Claude lit également les notes des résultats rejetés et s'en sert pour le projet. Chaque résultat conserve en outre un historique (History) indiquant qui l'a modifié et quand, à des fins d'audit et de conformité.

• Partagez les projets avec vos coéquipiers : Dans un projet, cliquez sur Share pour attribuer un rôle à des membres spécifiques :

  • Full : gérer les résultats, les paramètres et les personnes qui y ont accès
  • Triage : consulter les résultats, mettre à jour leur statut et lancer des corrections
  • View : simplement rester informés

  Vous pouvez également partager un projet avec toute votre organisation.

Connecter vos outils

• Importez les résultats dans vos systèmes avec l'API : Créez un jeton d'accès personnel dans les paramètres de Claude Security. Utilisez ensuite la Claude Security API pour importer les résultats dans vos outils de gestion des tickets, de gestion des vulnérabilités et de reporting, et pour les résoudre depuis ces outils, afin que le tri et le statut cohabitent avec tout ce que l'équipe utilise.
• Corrigez et résolvez en une seule session avec le connecteur : Avec le connecteur Claude Security, les ingénieurs peuvent afficher un résultat dans Claude ou Claude Code, le corriger et le résoudre au cours de la même session.
• Alertez votre équipe avec des webhooks : Créez des webhooks dans les paramètres de Claude Security pour transmettre en temps réel les événements de nouveau résultat vers vos propres systèmes. Connectez-les à des outils comme Slack ou Jira afin que le tri puisse commencer sans que personne n'ait à consulter le tableau de bord.

Gérer les coûts et l'accès

• Suivez le coût de chaque projet : Dans les paramètres d'un projet, ouvrez Usage pour consulter son coût depuis le début du mois et par jour.
• Déployez l'outil auprès d'autres équipes grâce aux rôles personnalisés : Les administrateurs peuvent utiliser les rôles personnalisés pour décider quels rôles RBAC peuvent créer des projets et qui peut consulter, trier ou gérer tous les projets.