Revisão de segurança com o Claude Code: de um diff ao repositório inteiro

O que o Claude Code faz em revisão de segurança

• Confere cada mudança em busca de injeção, falta de autorização, dados expostos e segredos no código antes do merge.
• Escaneia o repositório inteiro com agendamento e relata os achados com evidências, não com alertas soltos.
• Transforma os achados confirmados em patches ou issues, começando pelos mais graves.
• Confere a correção de novo para confirmar que ela fecha a brecha.

Recursos do Claude Code para revisão de segurança

Como configurar o Claude Code para revisão de segurança

1. Conecte as ferramentas

   /security-review funciona em qualquer sessão com um remote origin. Para scans completos, instale o plugin Claude Security pelo marketplace oficial; ele precisa do Python 3.9 ou mais recente e de um plano pago ou acesso à API.

   # Em uma sessão do Claude Code: instale o scanner
   /plugin install claude-security@claude-plugins-official
   
   # Escaneie o seu branch antes do merge, com esforço alto
   /claude-security scan my branch at high

2. Escreva as regras no CLAUDE.md

   O Claude Code lê o CLAUDE.md no início de toda sessão, inclusive nas execuções com claude -p. Coloque ali as regras do trabalho, ou em uma skill em .claude/skills/ se forem longas. Veja o guia do CLAUDE.md.

   ## Regras de revisão de segurança
   - Revise todo pull request que mexe em auth/, billing/ ou SQL.
     Procure injeção, checagens de autorização faltando, segredos no
     código e dados devolvidos ao usuário errado.
   - Classifique cada achado como Critical, High, Medium ou Low, com
     o arquivo, a linha e como ele poderia ser explorado.
   - Nunca rode exploits contra produção ou contra nada que não seja
     nosso. Leia o código e teste localmente.
   - Abra as correções como pull requests; nunca faça push na main.

3. Rode sem a interface interativa

   claude -p roda uma tarefa e encerra, então o cron, o CI ou outra ferramenta pode iniciá-lo. Escolha o que ele pode fazer sem pedir com --allowedTools ou --permission-mode; --output-format json devolve o resultado com o custo.

   # Uma rodada de segurança no branch pelo CI ou pelo cron
   claude -p "Rode /security-review neste branch e liste os achados por severidade" \
     --output-format json > security-review.json

4. Coloque em um agendamento

   Transforme-o em uma tarefa agendada na nuvem com /schedule (Pro, Max, Ultra, Team e Enterprise) ou em uma tarefa agendada no desktop, ou use /loop enquanto uma sessão fica aberta. Veja como deixar o Claude Code proativo.

Fonte: documentação do Claude Code

Limites e segurança

• Ele lê o código do seu checkout, não o site em execução, então não vai pegar um servidor mal configurado.
• Os scans não são determinísticos: duas execuções podem trazer achados diferentes. Rode-os com regularidade, não uma vez só.
• Ele complementa os seus scanners e alertas de dependências. Não substitui nenhum deles nem um teste de intrusão.
• Desde o Claude Code v2.1.302, claude -p começa no modo Manual: uma ação que precisa de aprovação é negada, a menos que uma regra a permita. Permita só as ferramentas de que o trabalho precisa.

Claude Code ou Codex para revisão de segurança?

As regras valem para os dois. Escreva-as uma vez no AGENTS.md e coloque @AGENTS.md no CLAUDE.md, e os dois agentes leem o mesmo arquivo.

Passo a passo para o outro agente: revisão de segurança com o Codex.

Coloque alguém responsável por revisão de segurança

Comandos rodam quando alguém lembra de rodá-los. O Crewmark transforma o seu próprio Claude Code em um funcionário de IA com um cargo, uma meta em números, horário de trabalho e um heartbeat, então o trabalho acontece no horário e aparece em um quadro.

1. Comece pelo cargo

   O engenheiro de software com IA, com estas regras no brief.

2. Leve o trabalho para o quadro dele

   Adicione o trabalho como issue recorrente. O funcionário acorda com o heartbeat, faz o trabalho e relata em um comentário.

3. Veja também

   Para bugs que não são de segurança, veja revisão de código.

Perguntas frequentes