Trouve les failles de ton appli vibe codée avec la compétence IA de Cloudflare

Le guide pour installer la compétence security-audit de Cloudflare dans Claude Code et faire auditer ton appli vibe codée gratuitement.

Ce que c'est

Cloudflare a rendu open source security-audit-skill, la compétence IA qu'ils ont construite pour auditer leur propre code. Elle a trouvé plus de 7000 problèmes de sécurité chez eux, et elle a dépassé les 20 000 étoiles sur GitHub. Elle est gratuite.

Le dépôt : https://github.com/cloudflare/security-audit-skill

L'installation, une seule commande

Dans le dossier de ton projet :

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

Tu dois voir :

Repository cloned
Found 1 skill: security-audit

C'est prêt dans ton Claude Code.

Comment la lancer

Ouvre Claude Code à la racine de ton appli et demande-lui simplement :

Utilise la compétence security-audit pour auditer cette application et produis le rapport complet.

Ce qu'elle fait, étape par étape

Étape	Ce qui se passe
Cartographie	Elle lit ton appli en entier et dessine la carte du code
Chasse	Une équipe d'agents IA fouille les points sensibles
Contre-enquête	Un agent sceptique essaie de prouver que le bug n'existe pas
Rapport	Seules les failles vérifiées arrivent au bout, avec le correctif

Ce qu'elle regarde

Les pages de connexion et les contournements d'authentification
Les clés d'API exposées dans les URL, du type ?key=sk_live_...
Les mots de passe stockés en clair
La base de données et les entrées non validées
Les routes d'administration non protégées, par exemple DELETE /admin
Les APIs et les absences de limitation de débit sur le login
Les injections de prompt, si ton appli utilise de l'IA derrière

L'agent sceptique, le truc malin

Chaque bug trouvé est passé à un autre agent dont le seul boulot est de démonter la trouvaille. Il se demande si le mot de passe est déjà haché, si la donnée est chiffrée, si c'est juste un jeu de test. Si la faille résiste, elle est marquée confirmée.

Le rapport final

Tu obtiens les failles classées en Critique, Élevée, Moyenne, chacune marquée vérifiée, avec le fichier, la ligne et le correctif prêt à coller :

src/db/users.ts:42
- user.password = password;
+ user.password = await hash(password);

Pour aller plus loin

L'article de Cloudflare qui explique la méthode derrière la compétence : « Build your own vulnerability harness » sur https://blog.cloudflare.com

Une question ? Réponds directement à ce message, je te lis.