O que é security-guidance plugin (Claude Code)?
O security-guidance é um plugin oficial do diretório de plugins do Claude Code da Anthropic. Ele tem três camadas. A cada Edit ou Write, verifica cerca de 25 padrões sabidamente perigosos, como yaml.load, pickle.load em dados não confiáveis, innerHTML cru e segredos fixos no código, sem chamada de modelo. Quando o Claude termina um turno, uma chamada de modelo separada revisa o diff e devolve ao Claude os achados de alta severidade para correção. No git commit, um revisor agêntico lê arquivos relacionados para rastrear dados pela base de código, pegando problemas como referências diretas inseguras a objetos, bypass de autenticação e SSRF entre arquivos.
As equipes podem adicionar regras em linguagem comum em .claude/claude-security-guidance.md. O número de estrelas pertence ao diretório de plugins inteiro, não a este plugin; o diretório não tem releases com tag.
security-guidance plugin (Claude Code) vale a pena?
Quando a mesma IA escreve o código e o verifica, ela tende a concordar consigo mesma. O security-guidance contorna isso enviando o diff de cada turno a uma chamada de modelo nova, sem memória de por que o código foi escrito.
Ele atua em três profundidades. Cada edição recebe uma verificação instantânea contra cerca de 25 padrões arriscados, como pickle e innerHTML, que não custa nada. Cada turno concluído recebe uma revisão do diff por modelo. Cada commit recebe um agente mais profundo que lê os arquivos ao redor, e é assim que ele encontra bugs que atravessam vários arquivos, como um usuário lendo os registros de outro.
O porém: nada disso bloqueia coisa alguma. Os achados voltam ao Claude como instruções, e o Claude ainda pode deixá-los passar ou ignorá-los. As duas revisões feitas por modelo consomem uso a cada turno e a cada commit, e a própria documentação do plugin sugere combiná-lo com um hook bloqueante ou uma verificação de CI. O número de estrelas que você vê é do diretório de plugins inteiro, não deste plugin: cerca de 44.000 no momento em que escrevemos. Ele exige Claude Code 2.1.144 ou posterior e Python 3.8+.
Nossa opinião: pense nele como um colega lendo por cima do seu ombro, não como uma tranca na porta. Vale a pena pelo preço de um comando de instalação, desde que algo como o Semgrep no CI continue entre o código e a produção.
Onde ele se destaca
Uma startup de duas pessoas lançando um app web com o Claude Code
Pegar bugs de injeção e de autenticação antes que cheguem à main
/plugin install security-guidance@claude-plugins-official. As verificações de padrões são gratuitas; as revisões de turno e de commit acrescentam uso de modelo a cada sessão.
Um líder de AppSec em uma empresa que está adotando o Claude Code
Codificar as regras de segurança internas uma vez para todos os desenvolvedores
Faça commit de .claude/claude-security-guidance.md com as regras em linguagem comum e mantenha um scanner bloqueante no CI como a barreira de fato.
Antes de decidir
- Configuração
- Execute /plugin install security-guidance@claude-plugins-official dentro do Claude Code; precisa de Python 3.8+ no PATH.
- Integrações
- Hooks do Claude Code; as revisões rodam pelo seu login no Claude, por uma chave de API ou por Bedrock, Vertex ou Foundry.
- Dados e privacidade
- Os diffs e o código relacionado vão para o modelo Claude que você usa nas revisões, sob os termos dessa conta. As verificações de padrões rodam localmente.
- Custo em escala
- Plugin gratuito; a revisão de diff por turno e a revisão agêntica por commit rodam no Opus mais recente por padrão, configurável com SECURITY_REVIEW_MODEL, e são cobradas como uso normal.
- Limites
- Não bloqueante por design; a qualidade da revisão depende do modelo e pode deixar problemas passarem.
O que é bom
- Um comando de instalação, sem configuração
- Uma chamada de modelo separada revisa cada diff com contexto novo
- A revisão no commit rastreia dados entre arquivos
- Regras personalizadas em linguagem comum
O que não é
- Só aconselha; nunca bloqueia uma gravação ou um commit
- As revisões feitas por modelo consomem uso a cada turno
- Precisa de Python no PATH
- As estrelas refletem o diretório de plugins inteiro
Ideal para
Usuários do Claude Code que querem revisão de segurança em cada mudança sem configurar nada.
Alternativas ao security-guidance plugin (Claude Code)
security-guidance plugin (Claude Code): perguntas frequentes
- security-guidance plugin (Claude Code) vale a pena?
- Para quem usa o Claude Code, é um ganho de segurança com um único comando, com um revisor que não está corrigindo a própria prova. Damos nota 4.2 de 5.
- Quanto custa security-guidance plugin (Claude Code)?
- Plugin gratuito sob Apache 2.0; as duas revisões feitas por modelo usam seu consumo do Claude ou da API.
- Quais são as desvantagens de security-guidance plugin (Claude Code)?
- Só aconselha; nunca bloqueia uma gravação ou um commit; as revisões feitas por modelo consomem uso a cada turno; precisa de Python no PATH; as estrelas refletem o diretório de plugins inteiro.
- Para quem security-guidance plugin (Claude Code) é indicado?
- Usuários do Claude Code que querem revisão de segurança em cada mudança sem configurar nada.
- Quanto custa security-guidance plugin (Claude Code) para uma equipe ou em produção?
- Plugin gratuito; a revisão de diff por turno e a revisão agêntica por commit rodam no Opus mais recente por padrão, configurável com SECURITY_REVIEW_MODEL, e são cobradas como uso normal.
- security-guidance plugin (Claude Code) é seguro para dados da empresa?
- Os diffs e o código relacionado vão para o modelo Claude que você usa nas revisões, sob os termos dessa conta. As verificações de padrões rodam localmente.
- Quais são as melhores alternativas ao security-guidance plugin (Claude Code)?
- As alternativas mais próximas que analisamos são Trail of Bits Skills e Cloudflare Security Audit Skill.
Respostas verificadas em 24 de out. de 2026.