Auditer la sécurité de ton projet avec Claude
La commande d'installation du skill d'audit de sécurité de Cloudflare et le prompt exact pour que Claude cherche les failles de ton site ou de ton appli.
La ressource
Cloudflare a rendu public son skill d'audit de sécurité (gratuit, open source, licence MIT). Installé dans Claude Code, il transforme Claude en équipe d'auditeurs qui suit 6 phases : cartographier le code, chasser les failles, contester chaque piste, les enregistrer, tout revérifier, puis te rendre un rapport (confirmé, rejeté, à vérifier). Voici comment le lancer sur ton projet en 10 minutes.
La préparation (une seule fois)
La commande d'installation (si tu préfères la taper toi-même)
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
Ajoute --global à la fin pour l'installer une fois pour tous tes projets.
Prompt 1 : l'installation
Installe le skill d'audit de sécurité de Cloudflare dans ce projet avec cette commande :
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
Si on te demande pour quel agent l'installer, choisis Claude Code. Vérifie aussi que Node.js est installé.
Explique-moi chaque étape simplement. Si une installation demande mon mot de passe, dis-moi exactement quoi taper au lieu de le faire à ma place.
Quand c'est fini, dis-moi si je dois redémarrer la session pour que le skill soit pris en compte.
Prompt 2 : l'audit (le prompt exact)
Fais un audit de sécurité complet de ce projet avec le skill security-audit de Cloudflare.
CONTEXTE
- Ce projet est : [décris en une phrase ton site ou ton appli, ex. « un site avec formulaire de contact et espace membres »].
- Il a été codé en grande partie avec l'IA.
- Les données sensibles : [ex. emails des utilisateurs, mots de passe, paiements, fichiers envoyés].
CE QUE TU DOIS FAIRE
1. Suis les 6 phases du skill, sans en sauter.
2. N'exécute pas le code du projet et ne modifie aucun fichier pendant l'audit : tu lis seulement.
3. Range le rapport hors du projet (le dossier par défaut du skill).
À LA FIN
Explique-moi le rapport comme à quelqu'un qui n'est pas développeur :
- les failles confirmées, de la plus grave à la moins grave, avec pour chacune ce qu'un attaquant pourrait faire
- ce qui reste à vérifier
- un plan de correction dans l'ordre, sans rien corriger tant que je n'ai pas validé.
Prompt 3 : corriger, puis relancer
« Corrige la faille n°1 du rapport, explique-moi ce que tu as changé, puis vérifie que le site fonctionne toujours. »
« Relance l'audit pour vérifier que la faille est bien corrigée. »
« Refais un audit complet : un seul passage ne trouve pas tout. »
Les bons réflexes
- Lance l'audit plusieurs fois : d'après Cloudflare, un seul passage trouve environ la moitié de ce que trouvent plusieurs passages. Les audits suivants s'appuient sur les précédents.
- Sans environnement isolé (bac à sable), le skill lit ton code sans l'exécuter : certaines pistes restent alors « à vérifier ». C'est normal, demande à Claude de t'expliquer comment les confirmer.
- Le rapport décrit les failles de ton projet : ne le partage pas et ne le mets pas en ligne.
- Corrige une faille à la fois, en commençant par les plus graves, et teste ton site après chaque correction.
- Fais une sauvegarde de ton projet avant de lancer les corrections.
- Relance un audit après chaque grosse mise à jour de ton site ou de ton appli.
- La source officielle : github.com/cloudflare/security-audit-skill