Prompts de sécurisation pour applications V2

🛡️ Prompts de sécurisation pour applications « vibe codées »

Cette bibliothèque contient un ensemble de prompts prêts à l'emploi à donner à Claude Code (ou tout agent de code) pour auditer et corriger la sécurité d'une application web ou mobile après sa génération.

L'idée : tu as vibe codé ton app, elle marche… mais elle n'a probablement aucune défense sérieuse. Tu fais passer ces prompts un par un, chacun couvre une grande classe de vulnérabilités, Claude Code audite puis corrige.

📁 Organisation

secu-prompts-vibecoding/
├── web/       → applications web (frontend + backend + API)
├── mobile/    → applications mobiles (Android / iOS / Flutter / React Native)
└── divers/    → transversal : conformité, checklist pré-prod, secrets, etc.

Chaque fichier .md est le prompt. Tu peux :

• le copier-coller directement dans Claude Code, ou
• le passer en entrée : claude -p "$(cat web/02-xss.md)", ou
• l'utiliser comme fichier de contexte dans ton IDE.

✅ Ordre recommandé

Web

1. 00-audit-global-web.md — cartographie et priorisation (à lancer en premier)
2. 04-authentification-session.md
3. 05-controle-acces-idor.md
4. 01-injections-sql-nosql-commande.md
5. 02-xss.md
6. 03-csrf.md
7. 10-securite-api-rate-limiting.md
8. 06-ssrf.md
9. 09-upload-fichiers.md
10. 07-headers-cors-securite.md
11. 08-donnees-sensibles-cryptographie.md
12. 11-configuration-secrets.md
13. 12-dependances-supply-chain.md
14. 13-logging-monitoring.md

Mobile

1. 00-audit-global-mobile.md (en premier)
2. 04-secrets-cles-api.md
3. 01-stockage-local-securise.md
4. 02-communication-reseau-tls-pinning.md
5. 03-authentification-mobile.md
6. 07-deep-links-webview.md
7. 06-permissions-plateforme.md
8. 08-cryptographie-mobile.md
9. 05-anti-tampering-reverse.md

Divers (transversal, quand tu veux)

• prompt-divers-securite.md
• logging-rgpd-conformite.md
• checklist-avant-mise-en-prod.md

⚠️ Règles d'usage importantes

• Un prompt à la fois. Laisse Claude Code finir un domaine avant de passer au suivant, sinon les corrections se marchent dessus.
• Fais un commit git avant chaque prompt. Tu pourras revenir en arrière.
• Relis les diffs. Ces prompts sont des accélérateurs, pas une signature de conformité. Une correction de sécurité mal comprise peut casser une fonctionnalité.
• Ne colle jamais de vrais secrets (clés API, mots de passe) dans le chat.
• Ces prompts sont défensifs : ils servent à protéger ton application. Ils ne remplacent pas un audit professionnel / pentest avant une mise en production critique (banque, santé, paiement…).

🎯 Cadre de référence

Les prompts s'appuient sur les référentiels reconnus :

• OWASP Top 10 (web)
• OWASP API Security Top 10
• OWASP MASVS / Mobile Top 10 (mobile)
• OWASP ASVS (checklist de vérification)

Bon durcissement 🔒