# Des milliers de fichiers Claude Code exposent des secrets sur GitHub

> Des chercheurs en sécurité ont repéré plus de 100 000 fichiers de paramètres Claude Code publics sur GitHub, dont 1 100 contenaient des mots de passe, des clés API et des clés privées.

Oossa · 2026-11-09 · https://oossa.com/fr/claude-code-settings-files-expose-thousands-of-secrets-on-github

Claude Code d’Anthropic est un outil qui permet aux développeurs d’exécuter dans leurs projets des commandes shell générées par l’IA. Lorsqu’un utilisateur clique sur « Oui, et ne plus me le demander », l’approbation est enregistrée dans un fichier local appelé .claude/settings.local.json. Ce fichier contient la commande exacte, qui peut inclure des mots de passe de bases de données, des jetons d’API ou d’autres identifiants. La documentation d’Anthropic indique que le fichier est ajouté à un fichier .gitignore global ; il devrait donc rester sur l’ordinateur du développeur.

Les chercheurs d’Apiiro ont découvert que l’entrée dans le fichier .gitignore ne s’applique pas au dépôt lui-même. Si un dossier contenant le fichier de paramètres est ensuite transformé en dépôt Git, ou si Claude Code lui-même valide le fichier, les données sensibles peuvent être envoyées sur GitHub. L’analyse par Apiiro de dépôts publics sur GitHub a révélé plus de 100 000 occurrences du fichier, dont environ 1 100 contenaient de véritables secrets. Ceux-ci provenaient de 63 organisations différentes et comprenaient des jetons d’API publics, des mots de passe de bases de données et des clés privées.

Une fois un fichier rendu public, le supprimer du dépôt principal ne l’efface pas des copies dérivées ni des versions mises en cache. Toute personne qui clone le dépôt ou consulte son historique peut donc toujours voir les identifiants divulgués. Les chercheurs ont averti que cette exposition pourrait permettre à des attaquants d’accéder à des bases de données, à des services cloud ou à des systèmes internes si les clés divulguées sont toujours actives.

## Pourquoi cette fuite est importante

Pour les développeurs, cette découverte souligne la nécessité de vérifier quels fichiers sont suivis avant de valider du code. Se fier uniquement à un fichier .gitignore global ne suffit pas : chaque dépôt devrait avoir son propre fichier .gitignore, qui exclut .claude/settings.local.json. Les organisations devraient également renouveler tout identifiant susceptible d’avoir été exposé et rechercher des fichiers similaires dans leurs dépôts.

## Les faits

- Apiiro a repéré plus de 100 000 fichiers .claude/settings.local.json publics sur GitHub.
- Environ 1 100 de ces fichiers contenaient de véritables secrets, comme des jetons d’API, des mots de passe de bases de données et des clés privées.
- Les secrets provenaient de 63 organisations différentes.
- Claude Code valide automatiquement les modifications apportées au fichier de paramètres sans demander à l’utilisateur.
- Anthropic indique que le fichier de paramètres est ajouté à un fichier .gitignore global, mais cela n’empêche pas son envoi dans un dépôt.

## Pourquoi c'est important

Les développeurs risquent d’exposer involontairement des identifiants en utilisant Claude Code, ce qui pourrait entraîner des accès non autorisés à des services. Les organisations doivent vérifier leurs dépôts, traiter le fichier de paramètres comme une donnée sensible, l’ajouter au fichier .gitignore de chaque projet et renouveler toute clé divulguée.

## Sources et références

1. [Claude Code settings files expose thousands of secrets on GitHub](https://arstechnica.com/ai/2026/11/claude-code-settings-files-expose-thousands-of-secrets-on-github/) – Ars Technica, 2026-11-09

Dernière mise à jour: 2026-11-09