Qu’est-ce que security-guidance plugin (Claude Code) ?
security-guidance est un plugin officiel dans l'annuaire de plugins Claude Code d'Anthropic. Il a trois couches. À chaque Edit ou Write, il vérifie environ 25 patterns connus comme dangereux, comme yaml.load, pickle.load sur des données non fiables, innerHTML brut et secrets en dur, sans appel de modèle. Quand Claude termine un tour, un appel de modèle séparé relit le diff et renvoie les constats de forte sévérité à Claude pour qu'il les corrige. À git commit, un relecteur agentique lit les fichiers liés pour tracer les données à travers la base de code, attrapant des problèmes comme les références directes d'objet non sécurisées, le contournement d'auth et le SSRF inter-fichiers.
Les équipes peuvent ajouter des règles en langage simple dans .claude/claude-security-guidance.md. Le compte d'étoiles appartient à tout l'annuaire de plugins, pas à ce plugin ; l'annuaire n'a pas de versions taguées.
security-guidance plugin (Claude Code) vaut-il le coup ?
Quand la même IA écrit le code et le vérifie, elle tend à être d'accord avec elle-même. security-guidance contourne cela en envoyant le diff de chaque tour à un appel de modèle neuf sans mémoire de pourquoi le code a été écrit.
Il travaille à trois profondeurs. Chaque édition reçoit une vérification instantanée contre environ 25 patterns risqués, comme pickle et innerHTML, qui ne coûte rien. Chaque tour terminé reçoit une revue de modèle du diff. Chaque commit reçoit un agent plus profond qui lit les fichiers environnants, ce qui est comment il trouve des bugs qui s'étendent sur plusieurs fichiers, comme un utilisateur qui lit les dossiers d'un autre utilisateur.
Le hic : rien de tout cela ne bloque quoi que ce soit. Les constats retournent à Claude comme instructions, et Claude peut encore les manquer ou les ignorer. Les deux revues adossées à un modèle coûtent de l'usage à chaque tour et commit, et la propre documentation du plugin suggère de l'associer à un hook bloquant ou une vérification CI. Le compte d'étoiles que vous voyez est celui de tout l'annuaire de plugins, pas de ce plugin : environ 44 000 au moment de l'écriture. Il a besoin de Claude Code 2.1.144 ou plus récent et de Python 3.8+.
Notre avis : pensez-y comme un collègue qui lit par-dessus votre épaule, pas un verrou sur la porte. Il vaut la peine d'être eu pour le prix d'une commande d'installation, tant que quelque chose comme Semgrep en CI se tient encore entre le code et la production.
Là où il fait la différence
Une start-up de deux personnes qui livre une appli web avec Claude Code
Attraper les bugs d'injection et d'auth avant qu'ils n'atteignent main
/plugin install security-guidance@claude-plugins-official. Les vérifications de patterns sont gratuites ; les revues de tour et de commit ajoutent de l'usage de modèle à chaque session.
Un responsable AppSec dans une entreprise qui déploie Claude Code
Encoder les règles de sécurité maison une fois pour chaque développeur
Committez .claude/claude-security-guidance.md avec les règles en langage simple, et gardez un scanner CI bloquant comme vraie barrière.
Avant de vous engager
- Mise en route
- Lancez /plugin install security-guidance@claude-plugins-official dans Claude Code ; a besoin de Python 3.8+ sur le PATH.
- Intégrations
- Hooks Claude Code ; les revues tournent via votre connexion Claude, une clé d'API, ou Bedrock, Vertex ou Foundry.
- Données et confidentialité
- Les diffs et le code lié vont au modèle Claude que vous utilisez pour les revues, sous les conditions de ce compte. Les vérifications de patterns tournent localement.
- Coût à grande échelle
- Plugin gratuit ; la revue de diff par tour et la revue agentique par commit tournent sur le dernier Opus par défaut, configurable avec SECURITY_REVIEW_MODEL, et sont facturées comme usage normal.
- Limites
- Non bloquant par conception ; la qualité de la revue dépend du modèle et peut manquer des problèmes.
Les points forts
- Une commande d'installation, pas de configuration
- Un appel de modèle séparé relit chaque diff avec un contexte neuf
- La revue de commit trace les données à travers les fichiers
- Règles personnalisées en langage simple
Les points faibles
- Conseille seulement ; ne bloque jamais une écriture ou un commit
- Les revues adossées à un modèle coûtent de l'usage à chaque tour
- A besoin de Python sur le PATH
- Les étoiles reflètent tout l'annuaire de plugins
Idéal pour
Les utilisateurs de Claude Code qui veulent une revue de sécurité à chaque changement sans rien configurer.
Alternatives à security-guidance plugin (Claude Code)
security-guidance plugin (Claude Code) : questions fréquentes
- security-guidance plugin (Claude Code) vaut-il le coup ?
- Pour un utilisateur de Claude Code, c'est un gain de sécurité en une commande, avec un relecteur qui ne corrige pas son propre devoir. Nous lui donnons 4.2 sur 5.
- Combien coûte security-guidance plugin (Claude Code) ?
- Plugin gratuit sous Apache 2.0 ; les deux revues adossées à un modèle utilisent votre usage Claude ou API.
- Quels sont les inconvénients de security-guidance plugin (Claude Code) ?
- Conseille seulement ; ne bloque jamais une écriture ou un commit; les revues adossées à un modèle coûtent de l'usage à chaque tour; a besoin de Python sur le PATH; les étoiles reflètent tout l'annuaire de plugins.
- À qui s’adresse security-guidance plugin (Claude Code) ?
- Les utilisateurs de Claude Code qui veulent une revue de sécurité à chaque changement sans rien configurer.
- Combien coûte security-guidance plugin (Claude Code) pour une équipe ou en production ?
- Plugin gratuit ; la revue de diff par tour et la revue agentique par commit tournent sur le dernier Opus par défaut, configurable avec SECURITY_REVIEW_MODEL, et sont facturées comme usage normal.
- security-guidance plugin (Claude Code) est-il sûr pour les données de l’entreprise ?
- Les diffs et le code lié vont au modèle Claude que vous utilisez pour les revues, sous les conditions de ce compte. Les vérifications de patterns tournent localement.
- Quelles sont les meilleures alternatives à security-guidance plugin (Claude Code) ?
- Les alternatives les plus proches que nous avons testées sont Trail of Bits Skills et Cloudflare Security Audit Skill.
Réponses vérifiées le 24 oct. 2026.