# cso

# cso

> _Catalogue généré le 2026-05-11_

## En une phrase

Mode « Chief Security Officer » : Claude audite ton projet à la recherche de failles de sécurité, secrets exposés, dépendances vulnérables et risques d'attaque.

## Quand l'utiliser

- Avant de déployer une application sensible (qui touche à de l'argent, des données personnelles, de l'auth)
- Quand tu veux vérifier qu'aucun mot de passe ou clé API ne traîne dans ton historique git
- Quand tu veux un audit OWASP Top 10 (les dix grandes catégories de vulnérabilités web)
- Après avoir ajouté de nouvelles dépendances, pour vérifier qu'elles ne contiennent pas de failles connues
- Périodiquement (par exemple chaque mois) pour suivre l'évolution de la sécurité de ton projet

## Comment l'invoquer

- **Slash command** : `/cso` (à taper dans Claude Code)
- **Voice triggers** : « see-so » · « see so » · « security review » · « security check » · « vulnerability scan » · « run security »
- **Phrases déclencheurs (texte)** : "security audit" / "threat model" / "pentest review" / "owasp review" / "CSO review"
- **Auto-invocation** : Sur demande explicite

## Description détaillée

`/cso` lance un audit de sécurité à la fois sur ton code et sur ton infrastructure. Le skill détecte d'abord ton stack technique (Node, Python, Ruby, Go, etc.) puis cartographie la surface d'attaque : endpoints publics, routes authentifiées, points d'upload de fichiers, intégrations externes, webhooks, jobs en arrière-plan.

Il enchaîne plusieurs phases. **Archéologie des secrets** : il fouille l'historique git pour repérer les clés AWS (`AKIA…`), clés OpenAI (`sk-…`), tokens GitHub, etc. qui auraient pu être commit par erreur. **Chaîne de dépendances** : il lance `npm audit` ou équivalent, repère les scripts d'install suspects dans tes dépendances de production. **Pipeline CI/CD** : il vérifie tes workflows GitHub Actions (actions non pinnées, `pull_request_target` dangereux, injection de scripts). **OWASP Top 10 + STRIDE** : injections SQL, XSS, CSRF, contrôles d'accès cassés, etc.

Deux modes existent. **Daily** est silencieux (signale seulement à 8/10 de confiance, zéro bruit). **Comprehensive** est l'audit mensuel approfondi (à 2/10, tout sort). Tu peux aussi cibler des sous-périmètres : `--infra`, `--code`, `--skills`, `--diff` (limité aux changements de ta branche). À chaque exécution, les résultats sont stockés pour suivre les tendances dans le temps.

## Source

- **Plugin** : `gstack`
- **Nom interne** : `cso`
- **Fichier** : `/home/thymon/.claude/skills/gstack/cso/SKILL.md`