+ nAIvigateUNE FICHE POUR LES DSI QUI N'ONT PAS 2 HEURES
▣ fiche-007.md ×
□ index.md☰ Sommaire
VerdictLes six modesQuel mode, pour quiCinq réglages d'entrepriseLe classifieur, ses limitesPlan d'actionClaude Code démarre en mode auto. Qui a décidé ça chez vous ?
Claude Code lit, écrit et exécute des commandes sur le poste. Le mode de permission décide de ce qu'il fait sans demander. Depuis la version 2.1.283, le mode de départ est auto : un second modèle examine les actions à votre place. La documentation le précise : cela réduit les confirmations, cela ne garantit pas la sécurité. À l'échelle d'une équipe, ce choix ne se laisse pas au réglage par défaut.
Verdict
l'essentiel en 10 secondes4 lignesTESTER ↗Votre configuration est-elle sûre ? Collez votre fichier de paramètres dans le vérificateur : un score et le fichier corrigé, sans rien envoyer.OUTIL GRATUIT
PAR DÉFAUTDepuis la version 2.1.283, les sessions en terminal et dans VS Code démarrent en mode auto, sur toutes les offres et chez tous les fournisseurs.CHANGEMENT
CLASSIFIEURUn second modèle examine les actions avant leur exécution. Il réduit les confirmations, il ne garantit pas la sécurité.LIMITE
ENTREPRISELe mode de départ, le mode auto et le mode sans contrôle se fixent dans les paramètres gérés. Encore faut-il l'avoir fait.À RÉGLER
Les six modes
ce qui s'exécute sans demander6 lignesmanualLectures seules sans confirmation, tout le reste est demandé. Sa valeur de configuration s'écrit default.SENSIBLE
acceptEditsLectures, modifications de fichiers et commandes courantes (mkdir, mv, cp) dans le répertoire de travail.
planClaude explore et propose un plan. Aucune modification tant que vous ne l'avez pas approuvé.EXPLORER
autoTout s'exécute, avec des contrôles de sécurité en arrière-plan. C'est le mode de départ depuis la 2.1.283.PAR DÉFAUT
dontAskLectures et outils pré-autorisés seulement. Tout ce qui demanderait une confirmation est refusé.CI
bypassPermissionsTout, sans contrôle. À réserver aux conteneurs et aux machines virtuelles isolés.ISOLÉ SEULEMENT
Quel mode, pour qui
une décision, pas un réglage hérité5 lignesdonnées sensiblesPoste qui touche la production, des secrets ou des données clients : manual, et plan pour explorer avant de modifier.
développementCode relu ensuite par un humain : acceptEdits, ou auto une fois l'infrastructure de confiance déclarée.
tâches longuesauto, avec des règles deny sur ce qui ne doit jamais arriver et un bac à sable en renfort.
intégration continuedontAsk avec une liste d'outils autorisés explicite. La session n'attend jamais de réponse.
sans surveillancebypassPermissions uniquement dans un conteneur ou une machine virtuelle, jamais en root, jamais sur un poste de travail.CONTENEUR
Cinq réglages d'entreprise
à poser dans les paramètres gérés5 lignesdefaultModepermissions.defaultMode fixe le mode de départ des sessions terminal de toute l'organisation. Chacun peut encore passer en auto.
disableAutoModepermissions.disableAutoMode réglé sur disable retire le mode auto : plus personne ne peut le sélectionner.COUPE-CIRCUIT
disableBypasspermissions.disableBypassPermissionsMode réglé sur disable bloque le mode sans contrôle.
denyLes règles deny bloquent dans tous les modes, bypassPermissions compris. C'est la seule garantie ferme.GARANTIE
environmentautoMode.environment déclare vos dépôts, espaces de stockage et services de confiance. Sans lui, le classifieur traite tout le reste comme externe.
Le classifieur, ses limites
ce qu'il fait, ce qu'il ne fait pas5 lignesbloqueTélécharger puis exécuter du code, envoyer des données sensibles vers l'extérieur, déployer en production, forcer un push, détruire des fichiers antérieurs à la session.PAR DÉFAUT
laisse passerLes opérations locales dans le répertoire de travail, l'installation des dépendances déclarées, les requêtes en lecture seule, le push sur le dépôt de travail.
consignesUne limite dite dans la conversation (« ne pousse pas ») est respectée, mais elle peut se perdre quand le contexte est compacté. Pour une garantie, une règle deny.PIÈGE
coûtSur les offres Enterprise et les comptes API, les appels du classifieur comptent dans la consommation de tokens.
repliAprès 3 blocages de suite ou 20 au total, le mode auto se met en pause et les confirmations reviennent.
Plan d'action
à lancer cette semaine6 lignes01Relever les versions installées : à partir de la 2.1.283, le mode de départ a changé sans action de votre part.D'ABORD
02Choisir le mode de départ par population et le fixer dans les paramètres gérés.
03Écrire les règles deny : production, secrets, suppressions, publication.
04Bloquer bypassPermissions en dehors des conteneurs.
05Déclarer l'infrastructure de confiance si le mode auto est conservé.
06Former les équipes : ce que fait chaque mode, et pourquoi une consigne orale ne suffit pas.
Approfondir
les fondamentaux, côté Apprendre3 liensVotre configuration est-elle sûre ? Collez votre fichier de paramètres : un score, la liste des trous et le fichier corrigé, sans rien envoyer. Ensuite, la formation pour vos équipes.
TESTER MA CONFIGURATION →Suivez nAIvigate | naivigate.com/fr/fiches