Application créée avec Claude Code : la vérification de sécurité avant la mise en ligne

Claude Code travaille directement dans votre dépôt : il crée des fichiers, installe des paquets, écrit des migrations. Il est excellent pour livrer vite, et il suit vos consignes. Mais il ne sait que ce que vous lui dites sur vos règles d’accès, vos données sensibles et votre déploiement.

Une analyse indépendante, après chaque grosse session de travail ou à chaque push, vous donne une vue d’ensemble que l’agent n’a pas : toutes les failles du projet, classées par gravité, avec le prompt de correction à lui redonner.

Dix analyses offertes chaque mois, sans carte bancaire. Premier rapport en quelques minutes.

Analyser mon application gratuitement

Les failles les plus fréquentes

Fichiers sensibles ajoutés au dépôt

Un fichier .env, une clé privée ou un jeton d’accès commité par erreur est lisible par toute personne qui accède au dépôt.

Droits d’accès incomplets

Une route API ou une action serveur ajoutée en fin de session sans vérification de l’utilisateur : la faille la plus fréquente dans les applications générées.

Dépendances ajoutées sans contrôle

Chaque paquet installé par l’agent élargit la surface d’attaque. Citadel compare chaque version aux bases de failles publiques.

Règles de base de données trop larges

Politiques Supabase « true », tables sans RLS : un correctif rapide pour débloquer un écran devient une porte ouverte.

Ce que Citadel vérifie (27 contrôles actifs)

Analyse du code, des dépendances et des secrets selon OWASP et CWE. Chaque faille arrive avec son explication et le prompt de correction à coller dans votre assistant.

Version de Next.js vulnérable au contournement du middleware (CVE-2025-29927) A06 · CVE
Secret exposé dans une variable NEXT_PUBLIC_ CWE-200 · A02
dangerouslySetInnerHTML alimenté par une donnée externe CWE-79 · A03
Redirection construite à partir des paramètres de l’URL CWE-601 · A01
images.remotePatterns ouvert à tous les domaines CWE-918 · A10
Source maps publiées en production CWE-540 · A05
child_process.exec ou spawn avec une entrée utilisateur CWE-78 · A03
eval, new Function ou vm sur des données externes CWE-95 · A03
Chemin de fichier construit depuis la requête (path traversal) CWE-22 · A01
JWT vérifié sans liste d’algorithmes ou avec un secret faible CWE-347 · API2
Cookies de session sans HttpOnly, Secure ou SameSite CWE-1004 · CWE-614
CORS : origine * combinée aux cookies d’authentification CWE-942 · A05
Clé service_role utilisée dans le code client CWE-798 · A07
Tables exposées sans Row Level Security activée CWE-284 · A01
Politiques permissives : USING (true) ou WITH CHECK (true) CWE-284 · A01
Secrets dans le code et les fichiers de configuration (plus de 100 types de clés) CWE-798 · A07
Dépendances npm et Composer avec CVE ou avis GHSA publiés A06 · CVSS
Mots de passe hachés en MD5, SHA-1 ou sans sel CWE-916 · A02
L’adresse http:// redirige vers https:// CWE-319 · A02
HSTS présent et de durée suffisante CWE-319 · A05
Politique CSP présente, sans unsafe-inline ni unsafe-eval CWE-693 · A05
Protection contre l’intégration dans une autre page (clickjacking) CWE-1021 · A05
Cookies Secure, HttpOnly et SameSite CWE-614 · CWE-1004
CORS ouvert à tous les sites avec les cookies CWE-942 · A05
En-têtes nosniff et Referrer-Policy, version du serveur masquée CWE-693 · CWE-200
Formulaires envoyés en clair, ou mot de passe passé dans l’adresse CWE-319 · CWE-598
Formulaires sans jeton anti-CSRF, ou envoyés à un autre domaine CWE-352 · CWE-201

Questions fréquentes

Comment utiliser Citadel avec Claude Code ?

Reliez votre dépôt GitHub à Citadel et activez l’analyse à chaque push. Chaque faille arrive avec un prompt de correction prêt à coller dans Claude Code ; une nouvelle analyse confirme ensuite la correction.

Mon code est-il conservé ?

Non. Il est analysé dans un conteneur isolé, sans accès à Internet, puis supprimé dès la fin de l’analyse. Seuls les résultats sont conservés, secrets masqués.

Combien ça coûte ?

L’offre Gratuite comprend dix analyses par mois, sans carte bancaire. Les offres payantes ajoutent Citadel IA, l’analyse à chaque push et le travail en équipe.

Les autres guides

Sécurité du vibe coding : la checklist avant de mettre votre app en ligne

Par outil

Par technologie