Le garde-fou qui bloque Claude avant tes mots de passe.

Le principe

Comment ça marche.

Une consigne écrite à Claude, il peut l'oublier au milieu d'une longue session. Un hook, c'est un petit programme que Claude Code lance tout seul à un moment précis, par exemple juste avant chaque action. Il regarde ce que Claude s'apprête à faire, et peut le refuser.

code.claude.com/docs

20 minutes

Étape par étape.

1. 1

   Vérifie que Node.js est installé.

   node --version

   Copier

   Tu dois voir v18 ou plus. Sinon, installe-le depuis nodejs.org.

2. 2

   Crée le script du hook.

   Dans ton projet, crée le dossier .claude/hooks/ et mets-y ce fichier :

   // .claude/hooks/bloque-secrets.js
   // Avant chaque lecture, écriture ou commande, Claude Code envoie l'action ici (en JSON).
   // Si elle vise un fichier .env, on la refuse.
   let entree = "";
   process.stdin.on("data", (morceau) => (entree += morceau));
   process.stdin.on("end", () => {
     const { tool_input = {} } = JSON.parse(entree || "{}");

   Le fichier complet, prêt à copier ou à télécharger, s'ouvre avec ton e-mail.

   Débloquer les fichiers →

3. 3

   Branche-le dans les réglages du projet.

   Dans .claude/settings.json à la racine du projet (crée-le s'il n'existe pas, sinon fusionne la partie hooks) :

   {
     "hooks": {
       "PreToolUse": [
         {
           "matcher": "Read|Edit|Write|Bash",
           "hooks": [
             {

   Le fichier complet, prêt à copier ou à télécharger, s'ouvre avec ton e-mail.

   Débloquer les fichiers →

   Piège

   Une virgule en trop et tout le fichier est ignoré. Si tu fusionnes avec un fichier existant, vérifie qu'il reste du JSON valide.
4. 4

   Relance Claude Code et vérifie.

   Tape /hooks dans Claude Code.

   Tu dois voir ton hook sous PreToolUse, avec le matcher Read|Edit|Write|Bash.

5. 5

   Teste-le.

   Demande à Claude : « lis le fichier .env ».

   Tu dois voir un refus avec la raison « Fichier de secrets : accès bloqué par le hook. ». Puis demande de lire un autre fichier : ça passe.

Il l'écrit pour toi

À donner à Claude.

Écris-moi un hook Claude Code de type PreToolUse pour ce projet.

But : bloquer toute lecture, modification ou commande qui touche mes fichiers de secrets (.env, .env.local, .env.production et les fichiers .pem ou .key).

Contraintes :
- Un script Node.js dans .claude/hooks/, sans dépendance à installer.
- Il lit l'action en JSON sur l'entrée standard et répond avec permissionDecision "deny" et une raison claire quand c'est un fichier de secrets. Sinon, il ne répond rien.

Les permissions

La version sans code.

Pour un blocage simple, Claude Code a aussi des règles de permissions : une liste de ce qu'il n'a pas le droit de faire. Pas de script, une ligne par règle.

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./.env.*)"
    ]
  }

code.claude.com/docs

Avant d'installer un hook

Attention.

Cet exemple est un filet de sécurité simple, pas une protection complète : il bloque les chemins qui contiennent « .env », pas une commande qui irait chercher le fichier par un détour.

Le mode d'emploi officiel, avec tous les moments où un hook peut se lancer : code.claude.com/docs/en/hooks.

FAQ

Questions.