Le skill de Cloudflare qui audite ton appli dans Claude Code

La commande exacte et les étapes pour installer le skill security-audit de Cloudflare dans Claude Code et auditer ton appli gratuitement.

Ce que c'est

Le skill security-audit que Cloudflare a publié en open source sur GitHub. C'est celui qui a trouvé plus de 7 000 problèmes de sécurité dans leur propre code, et le dépôt a dépassé les 20 000 étoiles.

Dépôt officiel : https://github.com/cloudflare/security-audit-skill

Installation (une seule commande)

À coller dans ton terminal :

npx skills add \
  https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

Tu vois ensuite s'afficher :

Repository cloned
Found 1 skill: security-audit

Le skill est alors disponible dans Claude Code.

Comment le lancer

Ouvre Claude Code dans le dossier de ton projet, puis demande simplement un audit de sécurité avec le skill security-audit.

Ce qu'il fait, étape par étape

Étape	Ce qui se passe
1	Il cartographie ton appli en entier
2	Il envoie une équipe d'agents fouiller le code
3	Il cible les logins, la base de données, les APIs
4	Si ton appli utilise de l'IA, il teste l'injection de prompt
5	Chaque faille passe devant un agent sceptique qui essaie de prouver qu'elle n'existe pas
6	Seules les failles confirmées arrivent dans le rapport

Les failles qu'il remonte typiquement

Clé d'API exposée dans une URL (?key=sk_live_...)
Mots de passe stockés en clair
Contournement d'authentification (auth bypass)
Route admin non protégée
Redirection ouverte (open redirect)
Entrée non validée
Webhook non vérifié
IDOR sur un identifiant d'enregistrement
Absence de limite de tentatives de connexion

Le rapport final

Les failles sont classées par gravité :

Critical : mots de passe en clair
High : route admin non protégée
Medium : pas de limite de connexion

Et pour chacune, tu as le fichier, la ligne et le correctif prêt à copier. Exemple :

src/db/users.ts:42
- user.password = password;
+ user.password = await hash(password);

L'agent sceptique, le truc qui change tout

Avant d'entrer dans le rapport, chaque faille est attaquée par un second agent dont le seul but est de la démolir : le mot de passe est peut-être déjà haché, la donnée chiffrée, c'est peut-être un jeu de test. Si elle survit, elle est marquée "Real bug, confirmed". Résultat : tu lis un rapport sans fausses alertes.

Une question ? Réponds à ce message, je te réponds.