⏳ This skill is pending AI review.
Scores will appear once the review pipeline completes.
securite-dev
Réflexe de sécurité systématique et structuré à appliquer avant de générer, modifier ou aider à configurer tout code, tout site, toute API ou toute infrastructure. Couvre la cartographie de la surface d'attaque, l'authentification, les autorisations, la validation des entrées, la logique métier, les uploads, les API, l'infrastructure, les dépendances, les secrets, l'anti-automatisation, les chaînes d'attaque, et les classes de vulnérabilités avancées — le tout du point de vue défensif (prévention, durcissement, détection), jamais offensif. À utiliser pour tout développeur ou vibecodeur qui veut livrer du code fiable sans craindre les failles.
Choose how to use this skill
You do not need every option. Choose the path your AI client supports. The stable page stays the same; versioned files are immutable.
1. Native installer
This listing has no registered native installer command. Use the complete package or source fallback below, depending on what your client supports.
Do not guess an installer command or replace an existing version without reviewing the diff.
2. Complete package recommended
Download the ZIP when available. It includes SKILL.md plus the references, security notes and version metadata.
No complete ProSkills package is published for this listing yet.3. Prompt-only
Copy the prompt above when the agent can read the stable page or when you want to adopt the workflow without installing a skill.
Need only the instruction file?
Download SKILL.md only if your client requires a single file. The complete ZIP is safer for a full installation because it preserves the references and release context.
No path installs or executes anything by itself. Your agent still needs access to the project files. Before updating, compare the installed version and review the diff.
// RATINGS
Not yet listed on ClawHub or SkillsMP
// README
Sécurité avant tout, pour tout, en tout, et après tout
Un skill Claude qui installe un réflexe de sécurité défensive systématique avant toute génération de code ou aide à la configuration (serveur, base de données, API, formulaire, upload, paiement, authentification…).
Ce n'est pas un outil offensif. Il ne produit jamais de code d'exploitation ni de script d'attaque contre des cibles tierces. Il sert à anticiper les failles pour qu'elles n'existent pas, et à expliquer les risques pour que le développeur — expérimenté ou vibecodeur — comprenne pourquoi chaque protection est nécessaire.
Pourquoi ce skill
La plupart des assistants IA génèrent du code fonctionnel sans réflexe de sécurité intégré : pas de vérification d'autorisation, entrées non validées, secrets en dur, uploads non contrôlés… Ce skill force une checklist structurée à chaque étape, sans jamais sacrifier la propreté du code : pas de sécurité décorative, pas de couche superflue "pour impressionner".
Deux règles gouvernent tout le reste :
- Sécurité systématique — chaque brique de code passe par la checklist pertinente avant d'être considérée terminée.
- Propreté avant tout — chaque contrôle ajouté répond à un risque réel du contexte du projet ; rien n'est ajouté par réflexe ou par excès de zèle.
Ce que couvre le skill
- Cartographie de la surface d'attaque (domaines, API, endpoints oubliés, dépôts Git exposés…)
- Front-end : ne jamais faire confiance au client, revalider côté serveur
- Authentification (mots de passe, sessions, récupération de compte, MFA, OAuth/OIDC)
- Autorisations : le test IDOR/BOLA, élévation de privilège horizontale et verticale
- Validation des entrées : XSS, injections SQL/NoSQL/commande, SSRF, path traversal, désérialisation
- Logique métier : prix, coupons, quotas, actions rejouables
- Uploads de fichiers
- API REST/GraphQL/WebSockets : mass assignment, excessive data exposure, rate limiting
- Infrastructure : moindre privilège, secrets, buckets, CI/CD
- Dépendances et CVE (avec évaluation de l'impact réel, pas de panique automatique)
- Secrets et historique Git
- Anti-automatisation (rate limiting, CAPTCHA, verrouillage progressif)
- Raisonnement en chaîne d'attaque plutôt qu'en faille isolée
- Revue de code source (suivre une donnée de bout en bout)
- Classes de vulnérabilités avancées (race conditions, cache poisoning, prototype pollution…)
Le détail complet est dans SKILL.md.
Installation
- Télécharger ou cloner ce dépôt.
- Ajouter le dossier (contenant
SKILL.md) à tes skills Claude, selon la méthode de ton environnement (Claude.ai, Claude Code, Claude Desktop…). - Le skill se déclenche automatiquement dès qu'une tâche implique de générer du code, d'aider à une configuration serveur/API/base de données, ou de faire une revue de sécurité.
Utilisation
Aucune commande particulière : dès que le skill est actif, Claude applique la checklist pertinente au contexte réel du projet avant de livrer du code, et signale explicitement les failles potentielles repérées en cours de route — même si elles ne sont pas demandées.
Portée et limites
- Ce skill encode une méthode et une checklist ; il ne remplace pas un audit de sécurité professionnel ni un pentest réalisé par des humains qualifiés sur un périmètre autorisé.
- Il est pensé pour du développement web classique (sites, apps, API) ; les contextes très spécifiques (systèmes embarqués, cryptographie avancée, conformité réglementaire précise) demandent une expertise complémentaire.
- Toute contribution qui renforcerait la partie défensive (nouvelles classes de vulnérabilités, retours d'expérience, corrections) est bienvenue.
Licence
Ce dépôt est publié sous licence MIT — voir LICENSE.
// HOW IT'S BUILT
KEY FILES