Qu’est-ce que Claude Security ?
Claude Security cherche les failles de sécurité de votre code comme le ferait un relecteur, et non comme un moteur de règles. Il lit le dépôt, rédige un modèle de menaces que vous pouvez modifier, suit les données à travers les fichiers et les services, et vérifie chaque résultat plusieurs fois avant de l'afficher, avec un niveau de gravité et une explication du chemin qu'emprunterait un attaquant. Un clic sur Fix transmet le résultat à Claude Code.
Il a commencé sous le nom de Claude Code Security en février 2026, est entré en bêta publique pour Claude Enterprise le 30 avril 2026 et, le 21 octobre 2026, a gagné l'analyse continue des nouveaux commits, le suivi des correctifs, une API, des webhooks et un connecteur MCP. Les analyses tournent sur Claude Mythos, le modèle d'Anthropic consacré à la cybersécurité, que les utilisateurs ne peuvent pas appeler directement. Anthropic affirme avoir trouvé plus d'un million de vulnérabilités dans des milliers d'organisations.
Il reste réservé à Enterprise. Les utilisateurs de Pro, Max, Team et de l'API peuvent utiliser un plugin Claude Security distinct dans Claude Code, qui s'appuie sur les modèles dont dispose le compte.
Combien coûte Claude Security ?
| Offre | Prix | Ce qui est inclus |
|---|---|---|
| Claude Enterprise | $20/seat/month | Plus l'usage au coût des tokens ; siège premium requis |
| Launch credits | Up to $25,000 a month | Deux mois, jusqu'au 31 décembre 2026 |
Claude Enterprise uniquement (20 $/siège/mois plus l'usage), avec un siège premium par utilisateur. Les analyses sont facturées au coût des tokens sans frais de plateforme ; les organisations éligibles reçoivent jusqu'à 25 000 $ par mois de crédits pendant deux mois, jusqu'au 31 décembre 2026.
Claude Security vaut-il le coup ?
La plupart des scanners de code sont bons sur les erreurs évidentes et mauvais sur celles qui mènent aux intrusions : la vérification de droits qui fonctionne dans un service et saute dans le suivant.
Claude Security s'attaque à celles-là. Il lit le dépôt entier, rédige un modèle de menaces de ce qui compte dans votre système et suit la circulation des données entre les fichiers et jusqu'à huit dépôts dans un projet. Chaque résultat est vérifié plusieurs fois avant de vous être montré, arrive avec une gravité fondée sur son exploitabilité dans votre code et explique le chemin qu'emprunterait un attaquant. Vanta a indiqué à Anthropic qu'il avait repéré des failles logiques qu'aucun de ses autres outils n'avait vues, et IonQ qu'il avait trouvé des problèmes importants manqués par un test d'intrusion mené au même moment.
La mise à jour d'octobre en a fait un service permanent plutôt qu'un audit ponctuel. Après une analyse de référence, qui peut prendre des minutes ou des heures, il surveille les nouveaux commits et réanalyse selon le risque, marque les résultats comme corrigés quand le correctif arrive et les rouvre si le bug revient. Les résultats partent vers Slack ou Jira par webhooks, et une API et un connecteur MCP permettent à Claude Code de les reprendre.
Le hic : il faut être client Claude Enterprise, avec un siège premium pour chaque utilisateur et la facturation à l'usage activée. Team et Max se sont vu promettre un accès "bientôt" en avril et ne l'ont toujours pas. Le centre d'aide précise aussi que les analyses sont "stochastiques par conception", si bien que deux passages sur le même code peuvent donner des résultats différents, ce qui complique une piste d'audit. Il n'existe aucune liste des langages pris en charge.
Le traitement des données écarte certains acheteurs. La conservation zéro des données n'est pas prise en charge, et Anthropic peut conserver des données lorsque la loi l'exige ou pour enquêter sur un abus. Vous ne pouvez analyser que du code qui vous appartient entièrement, ni projets tiers ni projets open source extérieurs.
Le prix se résume à la facture de tokens, avec un plafond de dépenses dédié et une vue du coût quotidien par projet. Anthropic ne donne aucune estimation par dépôt, mais les organisations éligibles reçoivent jusqu'à 25 000 $ par mois de crédits pendant deux mois, jusqu'au 31 décembre 2026, de quoi mener un vrai essai.
Notre avis : Claude Security est un second relecteur, pas un remplaçant du scanner de votre chaîne de build. Les équipes qui paient déjà Claude Enterprise devraient lancer les crédits gratuits sur leur service le plus ancien et le plus embrouillé, et voir ce qui en sort.
Là où il fait la différence
Un responsable de la sécurité applicative dans une fintech de 400 personnes sous Claude Enterprise
Trouver les trous d'autorisation qui traversent la passerelle API et trois services backend
Placez les quatre dépôts dans un projet, ajoutez la documentation d'architecture à la base de connaissances et relisez le modèle de menaces généré avant l'analyse de référence. Les crédits de lancement, jusqu'à 25 000 $ par mois, couvrent l'essai jusqu'au 31 décembre 2026.
Une ingénieure plateforme dans un éditeur de logiciels de 1 000 développeurs
Envoyer les nouveaux résultats à l'équipe concernée sans tableau de bord de plus
Les webhooks envoient les nouveaux résultats vers Jira ou Slack, Fix ouvre le résultat dans Claude Code, et l'API le clôt quand la pull request est fusionnée. Les résultats corrigés se rouvrent d'eux-mêmes si le bug revient.
Un responsable de la conformité dans une mutuelle santé réglementée
Décider si le code source peut être confié au scanner
Claude Security ne prend pas en charge la conservation zéro des données, donc une exigence de ZDR l'exclut. Anthropic oriente ces équipes vers le plugin Claude Code, qui peut fonctionner avec d'autres fournisseurs de modèles.
Avant de vous engager
- Mise en route
- Un Owner l'active dans Organization settings > Claude Security ; les utilisateurs ont besoin de sièges premium et de crédits d'usage activés. Connectez les dépôts via la Claude GitHub App, GitHub Enterprise Server ou un token pour GitLab, Bitbucket et d'autres serveurs Git, puis lancez une analyse de référence.
- Intégrations
- GitHub, GitHub Enterprise Server, GitLab, Bitbucket et d'autres serveurs Git ; une API avec des tokens d'accès personnels ; des webhooks vers Slack ou Jira ; un connecteur MCP pour Claude et Claude Code ; des alertes e-mail à la fin des analyses.
- Données et confidentialité
- La conservation zéro des données n'est pas prise en charge, et Anthropic peut conserver des données lorsque la loi l'exige ou pour traiter des violations de sa politique d'utilisation. Seul le code qui vous appartient, à vous ou à votre entreprise, peut être analysé.
- Coût à grande échelle
- Coût des tokens uniquement, sans frais de plateforme ; un plafond de dépenses dédié et le coût quotidien et du mois en cours par projet. Aucune estimation publiée par dépôt ou par analyse.
- Limites
- Jusqu'à huit dépôts par projet, dépôts de contexte compris ; les analyses sont stochastiques et peuvent donner des résultats différents ; les grands monorepos doivent être restreints à des dossiers ; les projets GitHub Enterprise de l'ancienne version ne peuvent pas être migrés.
Les points forts
- Suit les données à travers les fichiers et jusqu'à huit dépôts pour trouver des bugs en plusieurs étapes
- Un modèle de menaces modifiable et une base de connaissances orientent ce qu'il signale
- Analyses continues avec suivi et réouverture automatiques des correctifs
- API, webhooks et un connecteur MCP pour Claude Code
- Aucuns frais de plateforme, et jusqu'à 25 000 $ par mois de crédits de lancement
Les points faibles
- Claude Enterprise uniquement, avec un siège premium par utilisateur
- Les résultats peuvent varier d'un passage à l'autre sur le même code
- Aucune option de conservation zéro des données
- Aucune liste publiée des langages pris en charge
- Aucun coût publié par analyse ou par dépôt
Idéal pour
Équipes de sécurité d'entreprises sous Claude Enterprise qui veulent un relecteur des failles logiques et inter-services sur leur propre code.
Alternatives à Claude Security
Claude Security : questions fréquentes
- Claude Security vaut-il le coup ?
- Claude Security trouve les erreurs de logique que votre scanner rate et les suit jusqu'au correctif, mais seuls les clients Enterprise peuvent l'acheter et les résultats peuvent changer d'une analyse à l'autre. Nous lui donnons 3.9 sur 5.
- Combien coûte Claude Security ?
- Claude Enterprise uniquement (20 $/siège/mois plus l'usage), avec un siège premium par utilisateur. Les analyses sont facturées au coût des tokens sans frais de plateforme ; les organisations éligibles reçoivent jusqu'à 25 000 $ par mois de crédits pendant deux mois, jusqu'au 31 décembre 2026.
- Quels sont les inconvénients de Claude Security ?
- Claude Enterprise uniquement, avec un siège premium par utilisateur; les résultats peuvent varier d'un passage à l'autre sur le même code; aucune option de conservation zéro des données; aucune liste publiée des langages pris en charge; aucun coût publié par analyse ou par dépôt.
- À qui s’adresse Claude Security ?
- Équipes de sécurité d'entreprises sous Claude Enterprise qui veulent un relecteur des failles logiques et inter-services sur leur propre code.
- Combien coûte Claude Security pour une équipe ou en production ?
- Coût des tokens uniquement, sans frais de plateforme ; un plafond de dépenses dédié et le coût quotidien et du mois en cours par projet. Aucune estimation publiée par dépôt ou par analyse.
- Claude Security est-il sûr pour les données de l’entreprise ?
- La conservation zéro des données n'est pas prise en charge, et Anthropic peut conserver des données lorsque la loi l'exige ou pour traiter des violations de sa politique d'utilisation. Seul le code qui vous appartient, à vous ou à votre entreprise, peut être analysé.
- Quelles sont les meilleures alternatives à Claude Security ?
- Les alternatives les plus proches que nous avons testées sont CodeRabbit, OpenAI Codex, Claude Code et GitHub Copilot.
Réponses vérifiées le 6 nov. 2026.