Des garde-fous pour Claude Code, tirés de vos propres règles.

Vos règles d'entreprise arrivent dans Claude Code avant chaque modification. Ce qu'il ne doit jamais faire est bloqué avant de s'exécuter.

npx -y @cybedefend/vibedefend@latest install

Créer un compte gratuitToute version récente de Claude CodeLire la documentation

Claude Code écritbilling/refund.ts

export async function refund(req: Request) {
  const { id, amount } = await req.json();
  const invoice = await db.invoices.find({
    id, tenant: req.tenant,
  });
  if (amount > 500)
    await approvals.second(invoice);
  return payments.refund(invoice, amount);
}

Chaque requête est cloisonnée par tenant.

rules/data-access.md

Un remboursement de plus de 500 € demande un second validateur.

Approuvée une fois par Sofia M.

Vérifié avant le commit : rien à corriger

Prêt en quatre étapes.

Lancez une commandeDans n'importe quel terminal, sur macOS, Linux ou Windows. Node 18.17 ou plus récent.
Choisissez la région, connectez-vousUE ou US. Votre navigateur s'ouvre pour la connexion, aucune clé à coller.
Cochez Claude CodeL'installeur trouve les agents présents sur votre machine et les coche pour vous.
Codez comme d'habitudeOuvrez Claude Code : VibeDefend tourne à ses côtés.

Vérifiez à tout moment : vibedefend status

Ce que VibeDefend ajoute à Claude Code.

Règles servies

Vos règles métier et de sécurité arrivent dans Claude Code avant chaque modification.

Claude Code écritsrc/billing/cart-checkout.ts

const total = new Decimal128(cart.sum);
const rows = await db.query(
  "SELECT * FROM carts WHERE id = $1", [id]
);

Les montants utilisent Decimal128, jamais Number.

Tirée de src/billing.ts:14

Toute requête qui mêle une saisie utilisateur est paramétrée.

OWASP Top 10

Servies avant la modification

Garde-fou des secrets

Les lectures brutes de secrets sont refusées ; Claude Code reçoit la référence gérée à la place.

Claude Codewebhooks.ts

cat .env | grep STRIPE
Bloqué : lecture brute d'un secret
À la placeprocess.env.STRIPE_WEBHOOK_SECRET
npm test -- webhooks
Les tests passent

Consigné pour l'équipe

Garde-fou des actions

Commandes destructrices, suppressions de schéma, chemins protégés : arrêtés avant de s'exécuter.

Claude Code

rm -rf dist/
Autorisé : sortie de build
rm -rf .cache/
Autorisé : cache
rm -rf ./storage/uploads
Bloqué : chemin protégé, fichiers des utilisateurs

Consigné pour l'équipe

Alertes en direct

Les alertes SAST, SCA, secrets, IaC et CI/CD, en direct dans la session.

Claude Code

SASTsrc/db/users.repo.ts:42
SQL injection
SCApackage.json
lodash 4.17.20, CVE-2021-23337
Secretsconfig/prod.yml
AWS access key
IaCinfra/main.tf
S3 bucket public-read
CI/CD.github/workflows/deploy.yml
pull_request_target

Dans le contexte de l'agent, en direct

Vos questions.

VibeDefend modifie-t-il ma configuration Claude Code ?

Il ajoute ses hooks et enregistre le serveur MCP cybedefend, dans ~/.claude/settings.json, ~/.claude.json. Vos propres hooks restent : relancer l'installeur ne remplace que les entrées de VibeDefend.

Qu'est-ce qui quitte ma machine ?

L'analyse tourne dans la région choisie à l'installation, UE ou US. La décision de bloquer une action est prise sur votre machine. Avant une modification, le hook envoie la partie du fichier en cours d'écriture, pour trouver les règles qui s'appliquent. La revue de fin de session envoie les fichiers modifiés pendant la session. Votre jeton de connexion reste dans le trousseau de votre système.

Quelle version de Claude Code faut-il ?

Une version récente de Claude Code, et Node 18.17 ou plus récent. L'installeur tourne sous macOS, Linux et Windows.

Faut-il relier chaque dépôt ?

Pas pour les projets importés depuis GitHub ou GitLab : VibeDefend lit l'origin du dépôt et retrouve le projet. Pour tout autre dépôt, lancez vibedefend link une fois. La commande écrit .cybedefend/config.json avec l'identifiant du projet.

Comment le retirer ?

Lancez vibedefend uninstall : la commande retire chaque fichier installé par VibeDefend. Si vous avez installé le paquet globalement, lancez ensuite npm uninstall -g @cybedefend/vibedefend.

Claude Code a-t-il ses propres garde-fous ?

Il a des permissions que vous réglez à la main. VibeDefend ajoute des garde-fous tirés des règles de votre entreprise : elles arrivent dans Claude Code avant chaque modification, et un hook bloque les actions dangereuses avant qu'elles s'exécutent.

Détails techniques pour Claude Code

Serveur MCP: Disponibleclaude mcp add --scope user
Règles avant chaque modification: DisponiblePreToolUseEdit|Write|MultiEdit|BashAussi avant les commandes shell qui écrivent des fichiers : redirections, heredocs, tee, sed -i. Les commandes en lecture seule ne récupèrent rien.
Actions dangereuses bloquées: DisponiblePreToolUse
Règles chargées au démarrage: DisponibleSessionStart
Revue en fin de session: DisponibleStop
Revue des longues sessions: DisponiblePreCompact
Rappel à chaque prompt: DisponibleUserPromptSubmit

Ce qu'il écrit pour Claude Code

~/.claude/settings.json
~/.claude.json

Plus le runner des hooks dans ~/.cybedefend/. Vos propres hooks restent : relancer l'installeur ne remplace que les entrées de VibeDefend.

Le serveur MCP est ajouté au niveau utilisateur : tous vos dépôts le voient, pas seulement celui d'où vous avez lancé l'installation.

Seul Claude Code reçoit un court rappel à chaque prompt : sans lui, une skill qui démarre d'elle-même pourrait prendre la main avant que vos règles arrivent.

Quelque chose cloche ? vibedefend status donne un état en lecture seule, et vibedefend doctor répare ce qu'il peut.