Claude Code en sécurité : cadrer l'agent dans une équipe de développement
Claude Code lit votre dépôt, écrit des modifications et exécute des commandes avec les droits du développeur qui l'a lancé. Cette journée donne à votre équipe le cadre pour l'utiliser sans exposer les secrets de l'entreprise ni la production : permissions, isolation, revue systématique du code produit, hooks, intégration au flux de travail et politique d'usage écrite.
Programme et devis
Recevoir le programme et le devis
Quelques informations suffisent. Nous revenons vers vous sous 48 heures ouvrées avec un programme adapté à votre équipe.
Retours de participants
Ce qu'en disent les équipes formées
Très enrichissante et directement applicable. Le programme avait été adapté à nos besoins en amont : achats, réapprovisionnement, présentation des données de stock. J'aurais aimé encore plus de temps sur les cas pratiques.
J'ai eu une formation adaptée à mes cas d'usage quotidiens, c'était top. On y travaille en collaboration avec l'IA, sans fausse promesse.
Accompagnement au top.
Références formation
Ils ont formé leurs équipes avec nous
-
Quantilia
Fintech
Claude Code pour l'équipe de développement, en cinq demi-journées. L'entreprise revient pour un parcours plus long.
-
FFF
Fédération Française de Football
Claude et automatisation avec Power Automate pour concevoir des agents IA, en deux demi-journées à distance, avec financement OPCO.
-
Japcook
Agroalimentaire
Claude pour Excel avec les équipes achats et service commercial, deux jours par personne à distance.
-
Infine
Expertise sinistre
Formation des équipes à l'IA générative.
-
IA et data
Formation et accompagnement d'équipes sur l'IA générative.
Entreprises accompagnées par Tensoria sur leurs projets IA
Choisir la bonne formation
Cette fiche s'adresse aux équipes de développement et se concentre sur la sécurité : permissions, secrets, isolation, revue du code produit, hooks et politique d'usage. Pour une équipe qui veut apprendre tout l'usage de Claude Code sur ses dépôts, du ticket à la pull request, le parcours complet est la formation Claude Code en cinq demi-journées. Pour une formation générale aux assistants de code (GitHub Copilot, Claude, Cursor) sans angle sécurité dédié, voir la formation IA pour développeurs. Vue d'ensemble des trois formats Claude : parcours formation Claude.
À qui s'adresse cette formation, et pour qui ce n'est pas le bon format
Public : développeurs back et front, leads techniques, responsables sécurité ou DSI d'éditeurs de logiciels et de DSI internes qui utilisent ou vont utiliser Claude Code sur des projets de l'entreprise.
Pour qui
- Développeurs back-end et front-end qui utilisent déjà Claude Code, ou qui vont le déployer sur les projets de l'entreprise.
- Leads techniques qui doivent définir le cadre d'usage pour toute une équipe.
- Responsables sécurité ou DSI qui veulent comprendre ce qu'un agent de code peut faire, avant de l'autoriser sur des dépôts sensibles.
Pas pour qui
- Équipe non technique qui veut seulement produire des fichiers et des tableurs : la formation Claude Cowork est mieux adaptée.
- Équipe qui cherche une prise en main généraliste de plusieurs assistants de code, sans angle sécurité dédié : voir la formation IA pour développeurs.
- Équipe qui veut construire des agents orchestrés au-delà de Claude Code : voir le parcours Agents IA.
Ce que votre équipe sait faire à la fin de la journée
La journée porte sur ce qu'il faut encadrer avant de laisser Claude Code agir sur un dépôt de l'entreprise.
- Comprendre ce que l'agent lit, exécute et transmet, sur le poste et vers l'API.
- Savoir ce qui peut figurer dans un prompt, et ce qui ne doit jamais y figurer : code sensible, données clients, données personnelles.
- Empêcher l'agent d'atteindre la base de données et la production, et l'exécuter dans un environnement isolé avec un retour arrière propre.
- Configurer les permissions et les garde-fous d'équipe, et en connaître les limites. Notre article sur la sécurité de Claude Code en entreprise détaille ces garde-fous plus en profondeur.
- Repérer les défauts du code produit avec une grille de relecture, et maîtriser les dépendances ajoutées ou suggérées par l'agent.
- Étendre ces règles au dépôt et à l'intégration continue : détection de secrets, analyse statique, revue obligatoire, protection des branches.
- Intégrer l'agent au flux de travail existant sans casser les habitudes de branches, de revue de code et de pull request déjà en place.
- Repartir avec une politique d'usage écrite et une première configuration d'équipe.
Demi-journée 1 : ce que fait l'agent, et ce qui sort de l'entreprise
La matinée explique comment l'outil fonctionne : ce qu'il lit, ce qu'il exécute, ce qu'il transmet, et ce que deviennent les données envoyées.
Ce programme est un socle adapté à votre équipe lors du cadrage. Pour une équipe web, les scénarios portent par exemple sur les variables d'environnement et l'accès à la base ; pour une équipe data, sur les notebooks, les exports de données clients et les identifiants de l'entrepôt de données.
Ce que l'agent lit, exécute et transmet
Quiz d'ouverture pour lever les idées reçues, puis ce que l'agent lit dans un dépôt, ce qu'il exécute sur le poste avec les droits de l'utilisateur, ce qui est transmis à l'éditeur et ce que deviennent ces données selon le type de compte.
Ce qui peut figurer dans un prompt, et ce qui ne doit jamais y figurer
Distinguer code source, données clients et données personnelles. Atelier « ça part ou pas » : trier des contenus réels entre ce qui peut passer dans un prompt, ce qui doit être expurgé et ce qui ne sort jamais.
Les surfaces à couvrir et l'injection de prompt indirecte
Ce que l'agent lit, exécute, installe, et ce qui peut l'influencer sans que le développeur l'ait demandé : une instruction cachée dans un fichier du dépôt, un ticket ou une page web.
Permissions et démonstration d'une commande destructrice
Les modes de permission et le piège de l'approbation automatique, avec démonstration en direct. Atelier scénarios : identifier la faille et le garde-fou qui l'aurait évitée sur des situations à risque pour la base et la production.
Demi-journée 2 : poser les garde-fous et relire le code produit
L'après-midi met en place les garde-fous, depuis l'isolation de l'exécution jusqu'à la configuration partagée, puis se termine par la relecture du code produit et la rédaction d'une politique d'usage.
Séparer les environnements et les accès
Aucun identifiant de production sur un poste de développement, secrets sortis du dépôt. Pourquoi une règle d'interdiction sur un fichier de secrets ne suffit pas toujours : ce qu'elle couvre, et ce qu'elle ne couvre pas.
Isoler l'exécution et poser les règles d'équipe
Environnement isolé, droits limités, accès réseau restreint, avec un retour arrière propre par la branche de travail. Règles d'autorisation et d'interdiction partagées dans le dépôt, hooks, fichier de consignes de sécurité versionné, un fichier CLAUDE.md partagé par toute l'équipe. Exercice : bloquer la commande qu'on redoute le plus, vérifier que l'agent la refuse, puis chercher à contourner sa propre règle.
La chaîne de dépendances et les outils connectés
Paquets ajoutés ou parfois inventés par l'agent, code exécuté à l'installation, verrouillage des versions et vérification avant ajout. Connecter un outil externe sans ouvrir de brèche : droits accordés, provenance du serveur.
Relecture du code produit et politique d'équipe
Atelier de relecture sur deux extraits produits par l'IA, avec une grille de contrôle. Extension des règles au dépôt et à l'intégration continue. Clôture : rédaction de la politique d'usage et de la configuration commune à déployer dans les dépôts.
Extension possible
Le programme ci-dessus est un socle d'une journée. Sur demande, la seconde demi-journée peut s'étendre en une journée entièrement pratique, sur un dépôt de travail de votre équipe : chaque sujet est repris en exercice, on observe ce que fait l'agent, on pose le garde-fou, puis on cherche à contourner sa propre protection. Cette option se discute lors du cadrage, sur devis.
Pédagogie, prérequis et modalités
Le déroulé alterne démonstrations et ateliers courts en groupe, sur votre environnement de développement. Les participants analysent des situations réelles avant que la bonne pratique soit montrée en direct.
1 jour (7 heures, 2 demi-journées), extensible en journée pratique
Développeurs back et front, leads techniques, sécurité, DSI
Pratique du développement, un dépôt de test sans accès à la production
Intra-entreprise, présentiel ou distanciel
Groupes restreints pour un accompagnement individuel pendant les ateliers. Un compte Claude actif avec Claude Code installé est utile, ainsi qu'un dépôt de travail sans accès à la production pour les exercices.
- Une configuration d'équipe de départ : règles d'autorisation et d'interdiction, hooks, fichier de consignes de sécurité versionné.
- Une liste de vérification pour la revue du code produit par l'agent.
- Une politique d'usage rédigée en séance avec le groupe.
Préparer la formation Claude Code en sécurité sur votre stack
Avant la session, nous regardons votre stack technique, la manière dont vos développeurs accèdent à la base et à la production depuis leur poste, et les incidents ou hésitations déjà rencontrés avec un agent de code. Les scénarios d'atelier sont préparés à partir de ces éléments.
Exemple : un éditeur de logiciels pour le secteur de l'énergie a fait suivre cette formation à une équipe de huit développeurs, sur un backend Java et un frontend JavaScript. La question de départ : que peut faire l'agent sur notre dépôt, et comment l'empêcher d'atteindre la base et la production ? La journée a permis de configurer une première règle de protection, d'en mesurer les limites, puis de rédiger une politique d'usage et une configuration commune à déployer dans les dépôts.
Pour aller plus loin dans la construction d'agents au-delà de Claude Code, le parcours Agents IA traite l'orchestration indépendamment d'un fournisseur. Pour comprendre comment enchaîner plusieurs agents dans un flux de travail plus large, notre article sur les workflows dynamiques avec Claude Code complète cette formation. Pour un développement sur mesure d'une brique IA en production, voir notre offre développement SaaS IA.
Questions fréquentes sur la formation Claude Code en sécurité
Le code de l'entreprise part-il chez Anthropic, et que devient-il ?
Une partie de ce que l'agent lit (fichiers, sortie de commandes) transite par l'API d'Anthropic pour produire une réponse. La formation détaille précisément ce qui est transmis, la durée de conservation et l'usage possible pour l'entraînement selon le type de compte utilisé, pour que l'équipe sache ce qu'elle peut ou non laisser passer dans un prompt.
Peut-on utiliser Claude Code sur un dépôt qui contient des secrets ?
C'est un point central de la journée. Une règle d'interdiction de lecture sur un fichier de secrets ne suffit pas seule : l'agent peut parfois y accéder par un autre chemin, une commande qui ne nomme pas le fichier ou un script qui l'ouvre lui-même. La formation montre ce qu'une règle protège et ce qu'elle laisse passer, puis pose les garde-fous complémentaires : secrets sortis du dépôt, exécution isolée, aucun identifiant de production sur un poste de développement.
Faut-il déjà utiliser Claude Code pour suivre cette formation ?
Non, mais un compte actif avec l'outil installé facilite les démonstrations et les ateliers. Cette formation convient aussi bien à une équipe qui commence l'agentique qu'à une équipe qui utilise déjà Claude Code sans cadre défini. Pour une équipe qui n'a jamais touché l'outil et cherche d'abord à l'installer dans ses dépôts, la formation Claude Code en cinq demi-journées est la meilleure porte d'entrée.
Quelle stack technique est couverte, y compris des langages moins courants ?
Le programme s'adapte à votre stack : les extraits utilisés pour la relecture de code et les scénarios d'atelier sont préparés à l'avance sur vos langages. Les mécanismes traités (permissions, hooks, isolation, chaîne de dépendances) sont indépendants d'un langage particulier, y compris pour des stacks moins courantes.
Quelle taille de groupe recommandez-vous ?
Des groupes restreints, pour laisser le temps aux ateliers de raisonnement et à l'exercice pratique sur poste. Le format intra-entreprise s'adapte à la taille de votre équipe de développement ; le nombre exact se discute lors du cadrage, sur devis.
Quelle est la durée de la formation, et est-elle finançable ?
Le format de base tient sur 1 jour (7 heures, 2 demi-journées) et peut s'étendre d'une journée pratique sur un dépôt de votre équipe. Un financement OPCO est possible selon l'éligibilité de votre entreprise, via notre organisme de formation partenaire certifié Qualiopi (RETENGR). Un devis détaillé, avec durée et livrables, est établi après un premier échange.
Recevoir le programme de la formation Claude Code en sécurité
Indiquez dans le formulaire ci-dessous votre stack et la taille de l'équipe : nous vous envoyons un programme détaillé et un devis. Cette formation fait partie du parcours formation Claude.
Pour le parcours complet sur vos dépôts, sécurité comprise, voir la formation Claude Code ; pour plusieurs assistants de code sans angle sécurité dédié, la formation IA pour développeurs. Si ce programme ne correspond pas à votre stack ou à votre organisation, nous concevons aussi une formation IA sur mesure.
Formation sur mesure
Un programme construit pour votre métier
Le programme de cette page sert de base. Avant la session, nous le reprenons avec vous pour l'adapter à votre métier, à vos outils et aux documents que votre équipe traite chaque semaine.
Quel que soit le programme, l'équipe apprend trois choses : utiliser l'IA pour faire plus vite ses tâches, vérifier ce qu'elle produit, et repérer les cas où elle se trompe (un chiffre inventé, une source qui n'existe pas, une consigne mal comprise). Le document final reste relu et validé par la personne qui en est responsable.
-
Un échange de cadrage avec le formateur
Trente minutes avec l'ingénieur IA qui animera la session, idéalement avec une personne qui la suivra. Nous parlons de l'équipe, de son niveau et des tâches à travailler, puis nous collectons quelques cas et fichiers d'exemple.
-
Un programme écrit pour votre équipe
Les modules sont choisis selon vos objectifs et les exercices sont construits sur vos situations. Le programme est remis avec le devis et la convention, établis via RETENGR. Comptez en général deux à trois semaines entre votre accord et la première séance lorsqu'un dossier OPCO est monté.
-
Des séances surtout pratiques
Le formateur montre la méthode, puis chaque participant refait l'exercice sur un cas proche du sien. Environ 4 personnes par groupe sur un contenu technique, jusqu'à 8 environ en acculturation. À distance ou dans vos locaux, souvent en demi-journées espacées d'une semaine.
-
Évaluation des acquis et supports
Positionnement initial, exercices, mise en situation sur un cas métier et bilan de fin de session. Une attestation de réalisation est remise. Les prompts qui fonctionnent sont rangés dans un espace partagé de l'équipe, avec le support et les exercices.
Programmes déjà rédigés par métier
- RH et recrutement
- Avocats et juristes
- Finance et contrôle de gestion
- Cabinets d'expertise comptable
- Achats et supply chain
- Distribution et négoce
- Marchés publics
- Commerciaux
- Marketing et communication
- Assistants et office managers
- Service client
- BTP
- Immobilier
- Assurance et courtage
- Industrie
- Transport et logistique
- Secteur public
- Dirigeants et CODIR
- Développeurs
Votre métier n'est pas dans la liste ? Le principe reste le même : nous partons de vos tâches. Voir la formation IA sur mesure.
Qui forme et sous quel cadre
Un ingénieur IA formateur, un organisme certifié Qualiopi pour le cadre
La personne avec qui vous préparez la formation est celle qui l'anime. Le volet administratif et le financement passent par notre organisme de formation partenaire.
Le formateur
Anas Rabhi est ingénieur IA et formateur. Il travaille depuis plus de six ans sur des projets d'IA pour des entreprises : assistants sur documents internes, agents, automatisations. Les exemples montrés en séance viennent de ces projets, avec leurs limites.
Il conçoit le programme et anime lui-même les sessions, sans sous-traitance. Vous savez à l'avance qui sera face à vos équipes.
Voir son parcours et ses projetsL'organisme de formation
RETENGR, organisme partenaire certifié Qualiopi
Les formations sont portées administrativement par RETENGR, notre organisme de formation partenaire certifié Qualiopi. C'est ce qui permet une prise en charge par votre OPCO, selon l'éligibilité de votre entreprise.
- RETENGR : convention de formation, dossier OPCO, feuilles d'émargement, attestations.
- Tensoria : programme construit sur vos cas, animation, supports et suivi pédagogique.
Programme et devis
Recevoir le programme et le devis
Quelques informations suffisent. Nous revenons vers vous sous 48 heures ouvrées avec un programme adapté à votre équipe.
Accessibilité et financement
Une adaptation peut être étudiée pour les personnes en situation de handicap : signalez vos besoins à contact@tensoria.fr. Les formations sont portées par RETENGR, notre organisme de formation partenaire certifié Qualiopi ; la prise en charge par votre OPCO dépend de ses règles, de votre branche et des fonds disponibles.
Tarif sur devis
Le tarif dépend de la durée, du nombre de groupes, du niveau d'adaptation, du lieu et du suivi demandé. Chaque poste est détaillé séparément dans la proposition.