stride-threat-modeler

Règles de performance et de montée en charge à appliquer à tout code - cible minimale de 10 000 utilisateurs, budgets de latence, requêtes et index, cache…

Règles de développement backend à appliquer en écrivant du code serveur - conception d'API (erreurs RFC 9457, idempotence, pagination par curseur…

Règles d'architecture backend à appliquer à toute conception ou évolution de système - monolithe modulaire d'abord, logique métier isolée de l'infrastructure…

Filtre rigoureux en trois étapes réduisant drastiquement les faux positifs en testant la faisabilité réelle d'une attaque.

Audite le code source selon OWASP Top 10 et ASVS 5.0, détecte les failles de logique métier, d'injection et de contrôle d'accès.

Règles de structure de projet backend - organisation par fonctionnalité et par domaine plutôt que par couche technique, emplacement des fichiers, nommage…

Exécute Semgrep via MCP, trie les alertes en éliminant les faux positifs grâce au contexte d'exécution et génère les correctifs.

Règles de sécurité strictes pour Claude Code empêchant les attaques par prompt injection et l'exfiltration de données.

Analyse les manifestes de dépendances, repère les CVEs critiques et applique les versions patchées minimales.

Audit pointu des flux d'authentification, gestion des sessions et primitives cryptographiques.

Analyse le code, les fichiers .env et les configurations pour bloquer toute fuite de secret ou credential.