Choisir un mode de permission

​

Modes disponibles

​

Actions qu’aucun mode n’approuve automatiquement

• Les outils correspondant à une règle de demande explicite
• Les outils de connecteur que votre organisation a définis sur ask, dans les sessions où ce paramètre s’applique à Claude Code
• Les outils qui nécessitent une interaction de l’utilisateur : l’outil intégré AskUserQuestion et les outils MCP marqués requiresUserInteraction
• Les suppressions rm et rmdir reconnues ciblant un chemin critique, qu’aucune règle d’autorisation ni aucun "allow" d’un hook PreToolUse n’approuve, ainsi que les commandes Bash signalées par Dangerous rm operation not ruled out
• Les protections de messagerie inter-sessions
• Les lectures en dehors des répertoires de travail lorsque permissions.blockReadsOutsideWorkingDirectories est activé : les commandes Bash reconnues de lecture de fichiers déclenchent une demande de permission même en mode auto et en mode bypassPermissions, tout comme toute nouvelle tentative hors sandbox qui nécessite une approbation pour s’exécuter en dehors du sandbox. Nécessite Claude Code v2.1.257 ou une version ultérieure. Une commande que l’analyseur du shell ne peut pas suivre, par exemple une commande qui change de répertoire plus d’une fois ou qui exécute un sous-shell, déclenche une demande de la même manière, même lorsqu’elle ne mentionne aucun chemin extérieur. Cette demande ne s’applique pas lorsque la commande s’exécute dans le sandbox et que le sandbox applique le blocage.
• Les écritures en dehors des répertoires de travail lorsque permissions.blockWritesOutsideWorkingDirectories est activé : Claude Code refuse les appels Write, Edit et NotebookEdit à ces emplacements, à l’exception de certains de ses propres fichiers. Cette clé ne limite pas les commandes shell, les outils MCP ni les programmes exécutés par les hooks ; utilisez donc le sandboxing pour limiter les emplacements où les commandes shell écrivent. Nécessite Claude Code v2.1.314 ou une version ultérieure.

​

Configurations courantes

​

Quel mode une session démarre

1. Le flag --permission-mode, ou --dangerously-skip-permissions
2. permissions.defaultMode dans un fichier de paramètres Si vous définissez "auto" dans .claude/settings.json ou .claude/settings.local.json, la valeur ne prend pas effet, et Claude Code utilise alors la valeur par défaut intégrée plutôt qu’un defaultMode de ~/.claude/settings.json. Si vous définissez "bypassPermissions" dans ces deux fichiers, cela ne prend pas effet non plus, et la session démarre en mode Manuel. Les autres valeurs s’appliquent à partir de n’importe quel fichier de paramètres.
3. La valeur par défaut intégrée

• Dans un terminal, une fois, en haut de la session
• Dans l’extension VS Code, sous forme de carte sur l’écran de nouvelle conversation qui reste jusqu’à ce que vous la fermiez

​

Appels d’outils refusés dans les exécutions claude -p et Agent SDK

• Ajouter des règles d’autorisation : Claude exécute les appels que vous listez. Passez --allowedTools "Bash(npm test)" à claude -p, ou définissez l’option des outils autorisés de votre SDK.
• Démarrer en mode auto : un modèle classifieur examine les appels, vous n’avez donc rien à lister au préalable. Passez --permission-mode auto à claude -p, ou définissez l’option de mode de permission de votre SDK.

claude -p "Run the test suite and fix any failures" --permission-mode auto

const options = {
  permissionMode: "auto"
};

from claude_agent_sdk import ClaudeAgentOptions

options = ClaudeAgentOptions(permission_mode="auto")

​

Démarrer dans un mode de permission différent

{
  "permissions": {
    "defaultMode": "default"
  }
}

​

Modes de permission avec la configuration HIPAA

• Basculer vers le mode auto : appuyez sur Shift+Tab, ou utilisez la commande de votre interface
• Démarrer en mode auto : passez --permission-mode auto, ou définissez permissions.defaultMode sur auto dans vos paramètres utilisateur, ou dans les paramètres gérés pour toute votre organisation. Voir Démarrer dans un mode de permission différent
• Supprimer le mode auto : définissez permissions.disableAutoMode sur "disable" dans les paramètres gérés
• Bloquer bypassPermissions : définissez permissions.disableBypassPermissionsMode sur "disable" dans les paramètres gérés

​

Basculer les modes de permission

claude --permission-mode plan

claude remote-control --permission-mode acceptEdits

​

Auto-approuver les modifications de fichiers avec le mode acceptEdits

• Les chemins en dehors de cette portée
• Les écritures vers les chemins protégés
• Les suppressions de chemins critiques reconnues par rm et rmdir
• touch avec autre chose que de simples chemins de fichiers, par exemple une option, un glob ou un préfixe tel que timeout 5 ou LANG=C
• Toutes les autres commandes Bash sauf l’ensemble intégré en lecture seule

claude --permission-mode acceptEdits

​

Analyser avant de modifier avec le mode plan

• Sessions de terminal interactives avec le contournement des permissions disponible : ni le classifieur ni une demande de permission ne s’appliquent aux commandes de planification. Ignorer toutes les vérifications avec le mode bypassPermissions décrit les quelques éléments qui déclenchent encore une demande dans ce cas.
• Mode auto disponible et paramètre useAutoModeDuringPlan activé, ce qui est le cas par défaut : le classifieur examine les commandes shell autres que les suppressions de chemins critiques au lieu de vous demander. Les commandes approuvées s’exécutent et celles qui sont rejetées sont bloquées.
• Mode auto non disponible, ou useAutoModeDuringPlan désactivé : les commandes en dehors de l’ensemble intégré de commandes en lecture seule demandent une approbation, y compris lorsque le mode d’autorisation automatique du sandbox est activé.

claude --permission-mode plan

​

Examiner et approuver un plan

• Yes, and use auto mode : approuver et démarrer en mode auto. Si le mode auto n’est pas disponible pour votre session, par exemple parce que votre organisation l’a désactivé, cette option s’affiche sous la forme Yes, auto-accept edits. Si vous avez démarré la session avec le contournement des permissions activé, l’option s’affiche plutôt sous la forme Yes, and switch to BYPASS PERMISSIONS (no further prompts) for this session.
• Yes, manually approve edits : approuver et examiner chaque modification individuellement.
• No, keep planning : rester en mode plan et indiquer à Claude ce qu’il faut changer.

​

Définir le mode plan par défaut

​

Éliminer les demandes de permission avec le mode auto

• Plan : Tous les plans.
• Organisation : sur Team et Enterprise, le mode auto est disponible par défaut. Les administrateurs peuvent le désactiver pour l’organisation en définissant permissions.disableAutoMode sur "disable" dans les paramètres gérés.
• Modèle : sur l’API Anthropic et Claude Platform sur AWS, Claude Opus 4.6 ou ultérieur, Sonnet 4.6 ou ultérieur, Haiku 5.5, ou un modèle Fable. Sur Amazon Bedrock, Google Cloud’s Agent Platform, Microsoft Foundry et les sessions de passerelle d’applications Claude connectées, uniquement Claude Sonnet 5 ou ultérieur, Opus 4.7 ou ultérieur, Haiku 5.5, et les modèles Fable. Les modèles plus anciens, y compris Sonnet 4.5, Opus 4.5, Haiku 4.5 et les modèles claude-3, ne sont pris en charge sur aucun fournisseur.
• Fournisseur : disponible par défaut sur l’API Anthropic, Claude Platform sur AWS, Amazon Bedrock, Google Cloud’s Agent Platform, Microsoft Foundry et les sessions de passerelle d’applications Claude connectées.

​

Mode auto sur Bedrock, Agent Platform ou Foundry

• Sessions de terminal interactif et VS Code : pour les démarrer dans un mode de permission autre qu’auto, définissez permissions.defaultMode comme le décrit Démarrer dans un mode de permission différent, ou choisissez-en un dans l’indicateur de mode de l’extension VS Code. Dans quel mode une session démarre répertorie les versions de Claude Code qui les démarrent en mode auto.
• Exécutions claude -p et Agent SDK : pour en démarrer une en mode auto, passez --permission-mode auto à claude -p, ou passez permissionMode: "auto" en TypeScript ou permission_mode="auto" en Python. Si vous ne passez aucun mode de permission, consultez Appels d’outils refusés dans les exécutions claude -p et Agent SDK, qui couvre également les versions antérieures de Claude Code.

​

Examen du classificateur côté serveur

• Une connexion directe à l’API Anthropic : dans les sessions de terminal interactif et dans les sessions -p, Agent SDK, extension VS Code et application de bureau, quel que soit votre plan ou type de compte, au fur et à mesure qu’Anthropic le déploie. Vérifiez votre type de session par rapport à ces versions minimales de Claude Code :
  • Dans les sessions de terminal interactif, interroger le serveur nécessite Claude Code v2.1.271 ou ultérieur sur les plans Pro, Max, Ultra et Team. Sur les plans Enterprise et les comptes Claude API, ces sessions nécessitent v2.1.278 ou ultérieur.
  • Dans les sessions -p et extension VS Code, interroger le serveur nécessite Claude Code v2.1.278 ou ultérieur
  • Dans les sessions Agent SDK et application de bureau, interroger le serveur nécessite Claude Code v2.1.281 ou ultérieur
  • À partir de v2.1.282, une session qui ne récupère pas les feature flags, par exemple parce que vous avez désactivé la télémétrie, interroge le serveur par défaut dans n’importe quel type de session
• Un fournisseur cloud, une passerelle LLM ou un proxy : sur Claude Platform sur AWS, Amazon Bedrock, Google Cloud’s Agent Platform et Microsoft Foundry, et chaque fois que vous pointez ANTHROPIC_BASE_URL vers une passerelle LLM ou un proxy, quel que soit votre plan. Demander par défaut nécessite Claude Code v2.1.278 ou ultérieur.
• Une session de passerelle d’applications Claude connectée : nécessite Claude Code v2.1.280 ou ultérieur
• Une session cloud dans un environnement hébergé par Anthropic : quel que soit votre plan, lorsque vous la démarrez depuis le web, l’application mobile ou l’application de bureau avec Cloud sélectionné. Les sessions démarrées par une tâche planifiée cloud interrogent le serveur au fur et à mesure qu’Anthropic le déploie.

• Le serveur n’examine pas la session : une réponse se termine sans résultats d’examen, ou le serveur répond qu’il n’examine pas cette session. Les causes les plus courantes sont une passerelle LLM ou un proxy qui abandonne la requête d’examen ou les résultats, et une plateforme, une région ou des identifiants qui n’ont pas encore de vérifications côté serveur. Claude Code se rabat sur ses propres requêtes de classificateur. Une fois que cette solution de repli est maintenue pour le reste de la session, il affiche un avis sur les frais de requêtes de classificateur sur les comptes où ces requêtes sont facturées.
• Le serveur ne donne pas de verdict pour une action : Claude Code refuse l’action plutôt que de l’exécuter sans examen. Sur n’importe quelle connexion, cela se produit quand la réponse se termine avant l’arrivée des résultats d’examen ou que les résultats arrivent sous une forme que Claude Code ne peut pas lire. Une passerelle LLM ou un proxy qui raccourcit les réponses ou réécrit les résultats peut causer l’un ou l’autre. Sur une connexion directe à l’API Anthropic, cela se produit également quand la vérification du serveur échoue pour l’action, par exemple en dépassant le délai d’attente. Le serveur n’a pas retourné de verdict de sécurité couvre le message de refus, ce qui se passe quand les refus se répètent, et ce qu’il faut faire. Si un hook ou un mod modifie l’entrée d’une action après l’examen du serveur, Claude Code peut refuser l’action sans verdict. Dans les sessions de terminal interactif et VS Code sur une connexion directe à l’API Anthropic, le texte du refus inclut a hook changed this call's input after auto mode reviewed it. Son entrée d’erreur couvre ce qu’il faut faire.

​

Modèle de classificateur par défaut

​

Choisir le modèle de classificateur

{
  "env": {
    "CLAUDE_CODE_AUTO_MODE_MODEL": "claude-sonnet-4-6"
  }
}

​

Quand votre modèle n’est pas celui qui examine

​

Vérifier quel modèle le classificateur a utilisé

claude --permission-mode auto --debug-file classifier-debug.log

• Votre modèle après model= : la variable a pris effet
• Un modèle différent après model= : recherchez ignoring CLAUDE_CODE_AUTO_MODE_MODEL dans le log, qui donne la raison et toute étape à suivre
• Aucune ligne de ce type : lisez Auto mode server dans /status à l’invite de Claude Code :
  • Enabled : le serveur est configuré pour examiner les appels de cette session.
  • Disabled : cette vérification n’a pas encore testé votre modèle. Assurez-vous que le mode de permission est auto et qu’aucune règle de permission ne correspond à curl, puis relancez la vérification avec le sandbox désactivé.

​

Ce que le classificateur bloque par défaut

• Téléchargement et exécution de code, comme curl | bash
• Envoi de données sensibles à des endpoints externes
• Déploiements et migrations de production
• Suppression en masse sur le stockage cloud
• Octroi de permissions IAM ou de dépôt
• Modification de l’infrastructure partagée
• Destruction irréversible de fichiers qui existaient avant la session
• Push forcé
• Créer un commit ou pousser une modification qui enverrait des secrets ou des données sensibles en dehors du dépôt lors de son exécution, ou élargirait ce qu’un déploiement expose. Cela couvre un workflow CI ou une configuration de déploiement qui transmet un secret à une destination qui ne le reçoit pas déjà, un script ou une étape de configuration qui lit un magasin de secrets et envoie les données à l’extérieur, et une modification de configuration qui élargit ce qu’un déploiement publie, comme un paramètre de registre, de visibilité, d’artefact ou de sourcemap. La vérification s’applique sur n’importe quelle branche, s’applique même quand le dépôt est public, et se déclenche quand la modification est commitée ou poussée, que ce commit ou ce push déclenche le pipeline ou non ; la lever nécessite de nommer l’effet d’exécution, pas seulement le commit ou le push
• git reset --hard, git checkout -- ., git restore ., git clean -fd, git stash drop ou git stash clear, dont le classificateur présume qu’ils abandonneraient les modifications non commitées
• git commit --amend quand le commit à HEAD n’a pas été créé dans cette session
• À partir de v2.1.198, git commit --amend quand le commit à HEAD a déjà été poussé. Une reformulation du message seul n’est pas bloquée : --amend -m sans rien de nouvellement indexé, sur un commit que Claude a créé pendant cette session
• terraform destroy, pulumi destroy, cdk destroy ou terragrunt destroy, et l’application d’un plan qui détruit des ressources
• Écriture dans un gestionnaire de secrets, ou modification des enregistrements DNS ou des certificats TLS
• Fusion d’une pull request qu’aucun humain n’a approuvée, approbation de la propre pull request de Claude, ou désactivation des vérifications CI
• Publication d’un commentaire qui est lui-même une commande destinée à l’automatisation, comme atlantis apply ou le /deploy ou /merge d’un bot
• Basculement, augmentation progressive ou suppression d’un feature flag de production
• Application de modifications d’infrastructure à une portée IaC protégée, ou vidage et suppression de nœuds de cluster
• Écritures dans un cluster de calcul partagé qui vont au-delà de la ressource que vous avez nommée, comme un sélecteur d’étiquette ou --all qui capture les tâches d’autres utilisateurs
• Création de ressources Kubernetes qui s’exécutent sur chaque nœud ou interceptent le trafic du cluster, comme les DaemonSets et les webhooks d’admission
• Shells interactifs ou redirections de port vers une cible distante sensible
• Ouverture d’un tunnel ou d’un shell inverse qui rend un service local accessible depuis l’Internet public
• Affichage d’identifiants ou d’un jeton actifs dans la transcription ou un fichier
• Accès à un emplacement répertorié comme emplacement de données sensibles dans votre environnement, copie de données hors de celui-ci, ou envoi de données issues d’un tel emplacement à un public que l’entrée exclut
• Contournement de votre registre de paquets interne en installant un paquet depuis un registre public. Cela s’applique quand un registre interne ou un miroir est répertorié dans votre environnement ou quand vous avez indiqué à Claude dans la conversation qu’un tel registre existe
• Exécution d’une commande avec un flag qui désarme une protection de sécurité, comme --insecure
• Lancement d’une boucle d’agent autonome qui s’exécute sans approbation humaine ni sandbox, comme une boucle lancée avec --dangerously-skip-permissions ou --no-sandbox. Cela inclut l’exécution d’un agent tiers ou d’un harnais d’évaluation avec l’isolation et l’approbation par action désactivées, comme un runner lancé avec --yes-always
• Actions du navigateur Claude dans Chrome qui pourraient envoyer le contenu de la page, les cookies ou les identifiants hors origine
• Suppression de fichiers dans /tmp, $TMPDIR ou un autre répertoire temporaire ou de cache partagé par caractère générique, glob ou filtre d’âge plutôt que par un chemin nommé spécifique
• Inclusion de détails sensibles dans du contenu envoyé, téléversé, publié ou écrit à d’autres personnes ou dans des systèmes partagés, quand votre propre message n’a pas autorisé ces détails pour ce destinataire. Les corps de PR et d’issue, les messages de commit et les commentaires comptent comme ce type de contenu sortant quand le dépôt est en dehors de la limite de confiance ou public, y compris les dépôts publics de votre propre organisation ; les chemins de fichiers internes, les noms de code, les données de réponse API en direct comme les e-mails ou les identifiants de compte, et les identifiants d’infrastructure comptent comme des détails sensibles. Les données personnelles en direct issues d’une réponse API dans un corps de PR ou d’issue, comme une adresse e-mail, un identifiant de compte ou d’organisation, ou une métrique d’utilisation, vous obligent à nommer ces détails et le destinataire indépendamment de la visibilité ou de la limite de confiance du dépôt
• Envoi de frappes au clavier au propre volet tmux de Claude Code pour piloter sa propre interface, ce que le classificateur traite comme Claude modifiant ses propres permissions ou sa propre supervision
• Mise en commentaire, suppression ou forçage de la réussite d’un test ou d’une assertion qui protège un comportement de sécurité, comme l’authentification, le contrôle d’accès, la validation des entrées ou le sandboxing
• Suppression ou démantèlement d’une ressource avec état que Claude n’a pas créée dans la session, quand aucune règle de suppression plus spécifique ne s’applique et que vous n’avez pas nommé cette ressource
• Réorientation d’une URL de base d’API, d’un endpoint de proxy, d’un récepteur de webhook ou d’un miroir de registre vers un hôte tiers qui ne correspond pas à la tâche, y compris dans les fichiers d’exemple comme .env.example
• Modification de la destination des push avec git remote set-url ou git remote add, à moins que vous n’ayez nommé le nouveau remote
• Push de secrets ou de données personnelles ou confiées vers un dépôt connu pour être public, ou push de contenu confidentiel qui ne fait pas partie du travail propre de ce dépôt. Le sujet propre d’un dépôt de dotfiles est la seule exception pour les données personnelles ou confiées, et le contenu d’un dépôt privé atteignant n’importe quelle surface publique est bloqué de la même manière. Quand la visibilité d’un dépôt n’est pas établie, le classificateur ne bloque pas sur ce seul critère ; il juge plutôt le contenu par rapport aux autres règles
• Ouverture d’une pull request vers un dépôt ou une organisation différents, fork avec gh repo fork ou push vers un dépôt tiers, à moins que vous n’ayez nommé cette cible externe
• Contenu issu d’un magasin local sensible, ou d’un fichier dont le nom, le chemin ou le type le marque comme sensible, entrant dans un commit, un push, un texte de PR ou d’issue, un gist ou un paste, ou une publication de paquet, à moins que vous n’ayez nommé à la fois la source et la destination. Les transcriptions de session et les journaux de conversation, les dossiers cachés d’identifiants et de configuration comme les clés SSH, les identifiants cloud, les profils de navigateur et l’historique du shell, ainsi que les exportations de données utilisateur comptent tous, et le fait que le dépôt soit privé ne lève pas le blocage
• Écriture dans les transcriptions de session Claude Code, les fichiers d’historique .jsonl sous ~/.claude/projects/ ou votre répertoire de configuration configuré, directement ou via une commande shell. La règle couvre également les lignes de métadonnées que Claude Code ajoute à chaque entrée de transcription pour ses propres vérifications. La lecture d’une transcription n’est pas bloquée
• Une suppression forcée récursive comme rm -rf "$VAR" ou Remove-Item -Recurse -Force $dir dont la cible est une variable shell qui n’est assignée nulle part dans la conversation que le classificateur voit, ou un glob enraciné dans une telle variable. La valeur provenait uniquement d’une sortie de commande antérieure, que le classificateur ne reçoit jamais, donc le classificateur ne peut pas vérifier la cible de suppression par rapport aux autres règles de suppression. Le blocage est levé quand vous nommez le chemin exact en cours de suppression, ou quand Claude réexécute la suppression avec le chemin littéral résolu écrit dans la commande. Les suppressions dont le classificateur peut résoudre la cible ne sont pas affectées. Un glob directement sous la variable, comme dans rm -rf "$VAR"/*, est plutôt un chemin critique. Les cibles Remove-Item qui sont un * seul ou se terminent par /* ou \* n’atteignent jamais le classificateur : Claude Code les refuse directement.

• Demande d’identifiants à l’endpoint de métadonnées d’instance cloud, comme 169.254.169.254, ou authentification explicite d’un appel cloud, cluster ou registre avec l’identité de compte de service ou de nœud de la machine
• Accès à un hôte public par une route autre qu’une requête directe, comme un tunnel, un shell inverse, ou une configuration de résolveur ou de proxy réécrite pour pointer vers l’extérieur
• Lecture d’identifiants qui appartiennent à l’hôte plutôt qu’à votre tâche, comme les certificats de nœud ou l’authentification au registre de conteneurs du nœud
• Connexion à ou analyse des conteneurs, pods ou VMs voisins que Claude n’a pas démarrés, ou du nœud sous le conteneur

• Publication ou écriture d’un lien vers un service public de paste, de diagramme ou de partage de données dans un message, un texte de PR ou d’issue, un document, ou n’importe où ailleurs où le lien sera ouvert ou récupéré, quand l’URL elle-même contient le contenu partagé, à moins que vous n’ayez nommé ce service

• Opérations sur les fichiers locaux dans votre répertoire de travail
• Installation de dépendances déclarées dans vos fichiers de verrouillage ou manifestes
• Lecture de .env et envoi d’identifiants à leur API correspondante
• Requêtes HTTP en lecture seule
• Push vers n’importe quelle branche du dépôt sur lequel vous travaillez, y compris la branche par défaut. Une branche autre que celle par défaut dont le nom la désigne comme cible de déploiement ou de publication, comme production ou gh-pages, n’est pas couverte : le classificateur juge un push vers celle-ci selon ses propres critères. Le contenu d’un push est toujours vérifié par rapport aux autres règles du classificateur, et les règles permissions.deny peuvent toujours bloquer les commandes de push telles qu’écrites dans chaque mode. La protection de branche propre au remote s’applique toujours.
• Suppression des tâches exactes que Claude a créées plus tôt dans la même session
• Lecture, examen ou écriture de code, de configurations et de modèles de menace liés à la sécurité dans le cadre de votre tâche
• Messages entre agents travaillant ensemble dans la même session multi-agents
• Envoi de données aux domaines, buckets et services approuvés que vous énumérez dans environment. Cela couvre uniquement le flux de données, pas les opérations destructrices ou portant sur des identifiants sur la même infrastructure
• Navigation Claude dans Chrome vers un domaine interne approuvé, localhost ou une URL que vous avez nommée

​

La première lecture en dehors des répertoires de travail

• Oui, et continuez à autoriser toute lecture en dehors des répertoires de travail : la lecture s’exécute, les lectures ultérieures en dehors des répertoires de travail s’exécutent comme avant, et Claude Code enregistre votre réponse pour que la demande n’apparaisse plus
• Non, et bloquez les lectures en dehors des répertoires de travail à partir de maintenant : la lecture est refusée, et Claude Code définit permissions.blockReadsOutsideWorkingDirectories sur true dans vos paramètres utilisateur, ce qui fait que les outils de fichier refusent de telles lectures dans cette session, dans chaque session ultérieure et dans chaque mode de permission. Pour lever le blocage, supprimez le paramètre de chaque fichier de paramètres qui le définit, puis redémarrez chaque session en cours d’exécution. Pour un seul répertoire dans cette session, utilisez /add-dir.
• Non, et demandez à nouveau la prochaine fois : la lecture est refusée, et la prochaine lecture en dehors des répertoires de travail redemande la permission
• Oui, mais demandez à nouveau la prochaine fois : la lecture s’exécute, rien n’est enregistré, et la prochaine lecture en dehors des répertoires de travail redemande la permission

​

Limites que vous énoncez dans la conversation

​

Approbations que vous énoncez dans la conversation

• Nommez l’action et ses spécificités : votre message doit nommer l’action et l’élément spécifique qui la rend dangereuse, comme la branche d’un push forcé. Nommer le verbe seul ne lève rien, donc « vous pouvez faire un push forcé » laisse le blocage en place.
• Attendez-vous à ce qu’elle couvre une seule action : une approbation couvre l’action destructrice que vous avez nommée, donc une action ultérieure est de nouveau bloquée à moins que vous n’ayez accordé l’approbation de manière permanente. Pour cesser d’approuver un schéma courant action par action, ajoutez-le à autoMode.allow.
• Certains blocages restent en place : l’ordre de priorité du classificateur indique les blocages que votre approbation peut lever. Pour exécuter une étape qu’elle ne débloquera pas, quittez le mode auto et répondez à la demande de permission.

​

Quand le mode auto se rabat sur une solution de repli

• Une action bloquée : Claude Code affiche une notification et répertorie l’action dans /permissions sous l’onglet Recently blocked, où vous pouvez approuver l’action pour que Claude puisse réessayer.
• Blocages répétés : si le classificateur bloque une action 3 fois de suite ou 20 fois au total, le mode auto se met en pause et Claude Code recommence à vous demander la permission. Approuver l’action demandée relance le mode auto. Voir Seuils de blocages répétés pour savoir comment les blocages sont comptés.
• Aucun verdict du classificateur : quand une vérification de sécurité distincte du mode auto refuse la propre requête du classificateur, ou que la réponse du classificateur ne peut pas être analysée, Claude Code bloque l’action sans la notification ni l’entrée Recently blocked. Voir Le mode auto ne peut pas déterminer la sécurité d’une action pour le message que chaque cas affiche et ce qu’il faut faire.
• Aucun verdict du serveur : avec l’examen du classificateur côté serveur, Claude Code refuse une action pour laquelle le serveur ne donne pas de verdict, et peut arrêter le tour après dix réponses de suite sans verdict. Voir Le serveur n’a pas retourné de verdict de sécurité.
• Un changement de mode pendant une vérification : si vous changez de mode de permission alors qu’une vérification du classificateur est en attente, Claude Code abandonne un verdict que le nouveau mode n’aurait pas demandé. Une approbation vous est demandée à la place, ou l’action est automatiquement refusée en mode dontAsk.

​

Seuils de blocages répétés

​

Comment le mode auto évalue les actions

​

Autoriser uniquement les outils pré-approuvés avec le mode dontAsk

• Les suppressions rm et rmdir reconnues ciblant un chemin critique, comme rm -rf / et rm -rf ~
• Les lectures depuis un chemin réseau

claude --permission-mode dontAsk

​

Ignorer tous les contrôles avec le mode bypassPermissions

• L’invite d’approbation isolatePeerMachines pour les messages vers vos sessions au-delà de cette machine apparaît toujours.
• Quand aucune valeur crossSessionInbound ne s’applique, Claude Code retient un message entrant d’une autre de vos sessions pour votre approbation, et le livre sans demander uniquement quand la session d’envoi s’identifie comme contournant également les invites de permission. Si vous quittez le mode de permission tandis que les messages sont retenus, Claude Code réapplique les règles entrantes et livre tout message retenu qu’elles acceptent maintenant.

claude --permission-mode bypassPermissions

• Si vous acceptez : Claude Code définit skipDangerousModePermissionPrompt sur true dans ~/.claude/settings.json, de sorte que les sessions ultérieures ignorent le dialogue. Pour voir le dialogue à nouveau, supprimez la clé de ce fichier ou définissez-la sur false. La référence skipDangerousModePermissionPrompt énumère les autres fichiers de paramètres où vous ou votre organisation pouvez le définir.
• Si vous refusez : Claude Code quitte.

• Sans acceptation enregistrée, claude --bg --permission-mode bypassPermissions est refusé. Acceptez d’abord le dialogue dans une session interactive.
• Avec skipDangerousModePermissionPrompt défini uniquement dans .claude/settings.local.json, la session en arrière-plan démarre en ignorant la demande de contournement :
  • Lorsque --allow-dangerously-skip-permissions est ignoré, bypassPermissions est exclu de son cycle Shift+Tab.
  • Lorsque --permission-mode bypassPermissions ou --dangerously-skip-permissions est ignoré, la session démarre plutôt en mode Manual.
  Ajoutez "skipDangerousModePermissionPrompt": true à ~/.claude/settings.json, puis démarrez une nouvelle session en arrière-plan.

--dangerously-skip-permissions cannot be used with root/sudo privileges for security reasons

​

Contournement des permissions ignoré dans une session en arrière-plan

Bypass permissions was requested at launch and ignored · if that was you, ~/.claude/settings.json needs "skipDangerousModePermissionPrompt": true

​

claude agents affiche l’avertissement de contournement des permissions que les sessions interactives ignorent

​

Chemins protégés

• Pour le dossier .claude/ du projet : Oui, et autoriser Claude à modifier les fichiers du dossier .claude de ce projet pour cette session
• Pour ~/.claude/ : Oui, et autoriser Claude à modifier les fichiers de son dossier ~/.claude pour cette session

• .git
• .config/git
• .vscode
• .idea
• .husky
• .cargo
• .devcontainer
• .yarn
• .mvn
• .claude, à quelques exceptions près, telles que :
  • Les propres git worktrees de Claude sous .claude/worktrees/
  • Les propres fichiers de plan de la session en cours dans ~/.claude/plans/, ou dans le plansDirectory que vous définissez
  • Le répertoire temporaire propre à une session en arrière-plan à ~/.claude/jobs/<id>/tmp/
  • Les fichiers markdown du répertoire de mémoire automatique du projet, tel que ~/.claude/projects/<project>/memory/, dans une session démarrée sans --restricted
  • Les fichiers markdown d’un répertoire de mémoire de sous-agent, tel que .claude/agent-memory/, dans une session démarrée sans --restricted
• Un répertoire que vous avez chargé avec --plugin-dir, car Claude Code recharge et exécute le code d’un mod à partir de celui-ci quand un fichier change
• ~/.claude/dev-mods/, ou dev-mods/ dans le répertoire vers lequel pointe CLAUDE_CONFIG_DIR, où Claude enregistre les mods qu’il écrit pour vous

• .gitconfig, .gitmodules
• .bashrc, .bash_profile, .bash_login, .bash_aliases, .bash_logout, .zshrc, .zprofile, .zshenv, .zlogin, .zlogout, .profile, .envrc
• .npmrc, .yarnrc, .yarnrc.yml, .pnp.cjs, .pnp.loader.mjs, .pnpmfile.cjs, bunfig.toml, .bunfig.toml
• .bazelrc, .bazelversion, .bazeliskrc
• .pre-commit-config.yaml, lefthook.yml, lefthook.yaml, .lefthook.yml, .lefthook.yaml
• gradle-wrapper.properties, maven-wrapper.properties
• .devcontainer.json
• .ripgreprc, pyrightconfig.json
• .mcp.json, .claude.json
• remote-settings.json, la copie stockée des paramètres gérés par le serveur de votre organisation, ainsi que les fichiers de signature, de synchronisation et de consentement que Claude Code conserve avec elle, dans ~/.claude ou dans le répertoire vers lequel pointe CLAUDE_CONFIG_DIR
• Un fichier que vous avez passé à --settings, --mcp-config ou --agents au démarrage de la session
• Le fichier vers lequel pointe votre fichier de paramètres utilisateur, de projet ou local lorsque ce fichier de paramètres est lui-même un lien symbolique, par exemple vers un dépôt de dotfiles. Dans les modes qui acheminent les écritures de chemins protégés vers le classificateur, une écriture vers ce fichier vous demande une confirmation à la place, même lorsqu’une règle d’autorisation correspond. Si le chemin propre du fichier est également celui d’un fichier de paramètres, tel que .claude/settings.json dans un autre dossier, l’écriture est acheminée vers le classificateur comme les autres écritures de chemins protégés

​

Chemins critiques

• Règles deny : une règle deny qui correspond à la commande la bloque, bien qu’un mod que vous avez installé puisse encore approuver certains de ces appels
• Sandboxing : le sandboxing fait limiter par le système d’exploitation les chemins dans lesquels les commandes Bash peuvent écrire. Les commandes en sandbox peuvent toujours supprimer votre répertoire de travail
• Mode sandbox strict : par défaut, une commande en sandbox peut être réessayée hors du sandbox, et une règle allow ou le mode bypassPermissions peut approuver cette nouvelle tentative sans invite. Le mode sandbox strict désactive la nouvelle tentative

​

Quels chemins sont critiques

• La racine du système de fichiers
• Les répertoires de niveau supérieur, ce qui signifie tout enfant direct de la racine, comme /usr, /etc, ou /data
• Votre répertoire personnel. Sous Windows, son nom court 8.3 compte aussi, comme C:\Users\LONGNA~1
• Les racines des lecteurs Windows et leurs répertoires de niveau supérieur, comme C:\ et C:\Windows. Des graphies comme \\?\C:\ et \\localhost\C$ comptent comme C:\
• Votre répertoire de travail et ses parents
• Vos répertoires de travail supplémentaires et leurs parents, mais uniquement quand la suppression est un glob sous l’un d’eux, comme rm -rf <dir>/*. rm -rf <dir> sur le répertoire lui-même ne déclenche pas cette vérification

​

Autres cibles qui comptent comme des chemins critiques

​

Suppressions à l’intérieur de commandes imbriquées et de scripts en ligne

• Commandes imbriquées : une sous-coquille avec (...), un groupe d’accolades avec { ...; }, une substitution de commande avec $(...) ou des backticks, ou une substitution de processus avec <(...). Claude Code trouve une suppression de chemin critique qu’elle se trouve à l’intérieur de la forme imbriquée, comme dans (rm -rf ~) ou echo "$(rm -rf ~)", ou ailleurs dans la même commande.
• Scripts en ligne : un script passé à sh, bash, zsh ou un shell POSIX similaire avec -c, comme dans bash -c 'rm -rf ~'.
  • Quand le script est entre guillemets doubles, le shell d’invocation développe ses variables avant que le shell interne ne reçoive le script. Dans find . -name '*.tmp' -exec sh -c "rm -rf \"$1\"/*" _ {} \;, la commande se développe en une suppression de la racine du système de fichiers une fois par correspondance, et Claude Code la traite comme une suppression de chemin critique.
  • Un script entre guillemets simples qui lie $1 à une valeur réelle, comme sh -c 'rm -rf "$1"/*' _ {} le fait, n’est pas signalé.

​

Réécrire une commande signalée

• Un glob ou une barre oblique finale sous une variable comme $DIR : protégez chaque expansion pour que le shell s’arrête avec une erreur quand la variable n’est pas définie ou vide, comme dans rm -rf "${DIR:?}"/*, ou utilisez un chemin littéral. Une suppression dont les expansions sont toutes protégées de cette manière passe cette vérification, donc en mode bypassPermissions elle s’exécute sans invite à moins qu’une autre vérification de chemin critique ne la signale.
• Un glob ou une barre oblique finale sous une variable qui est normalement définie, comme $HOME : utilisez un chemin littéral.
• Une variable assignée à partir d’une substitution d’impression de répertoire : utilisez un chemin littéral. Une protection "${D:?}" ne clarifie pas cette vérification, car la variable n’est pas vide.
• Une cible qui est uniquement la sortie d’une substitution de commande : exécutez la substitution seule d’abord, puis supprimez les chemins littéraux qu’elle affiche. L’invite dit à Claude de faire la même chose.

​

L’invite Dangerous rm operation not ruled out

Dangerous rm operation not ruled out — the shell may read this command differently than it was parsed

This command could not be checked for dangerous rm operations: the shell may read it differently than it was parsed.

​

L’invite de lecteur monté

​

Chemins qui reçoivent l’invite de lecteur monté

​

Désactiver l’invite de lecteur monté

export CLAUDE_CODE_DISABLE_MOUNTED_DRIVE_RM_PROMPT=1
claude

• Variable dans un fichier de paramètres : Claude Code ignore la variable dans le bloc env d’un fichier de paramètres, quel que soit le type de fichier de paramètres, définissez donc plutôt la variable là où vous démarrez claude
• Session démarrée sans la variable : redémarrez claude depuis un environnement où la variable est définie, car une session en cours ne la prend pas en compte

​

Suppressions qui demandent toujours une approbation avec l’invite de lecteur monté désactivée

• Cible en dehors de vos répertoires de travail : rm -rf /Volumes/USB/other pendant que vous travaillez dans /Volumes/USB/project affiche une invite. Pour supprimer cette invite, ajoutez un répertoire qui contient la cible à la session
• Cible avec un * : rm -rf build/* affiche une invite. Approuvez cette invite pour exécuter la commande, ou demandez à Claude de nommer chaque cible sans *
• Cible qui est un chemin critique : /mnt lui-même et votre répertoire de travail lui-même restent des chemins critiques, donc rm -rf sur l’un ou l’autre affiche une invite. Approuvez cette invite pour laisser le rm s’exécuter

​

Suppressions de chemins critiques dans chaque mode de permission

​

Limites de temps et refus en modes auto et bypassPermissions

• Si le compte à rebours s’épuise avant que vous répondiez, Claude Code refuse la commande et dit à Claude quoi faire à la place, pour qu’une session sans surveillance continue de fonctionner.
• Appuyez sur n’importe quelle touche pendant que l’invite est ouverte pour arrêter le compte à rebours et garder l’invite en attente de votre réponse.
• Après trois de ces invites qui s’épuisent sans réponse dans une session, Claude Code arrête de les afficher et refuse immédiatement les suppressions de chemins critiques supplémentaires. L’envoi d’un nouveau message recommence le compte.

• bypassPermissions : l’invite du terminal n’a pas de limite de temps, et le panneau de chat VS Code vous demande
• auto : le classificateur décide, dans le terminal, le panneau de chat VS Code, les exécutions -p et les sessions Agent SDK

{
  "claudeCode.environmentVariables": [
    { "name": "CLAUDE_CODE_DISABLE_DANGEROUS_RM_TIMEOUT", "value": "1" }
  ]
}

​

Désactiver l’invite de suppression de chemin critique en mode bypassPermissions

export CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

$env:CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS = "1"
claude --permission-mode bypassPermissions

set CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

​

Avis au démarrage concernant l’invite de suppression de chemin critique

• is set, so dangerous rm commands can run without a prompt : les suppressions peuvent s’exécuter sans invite une fois les paramètres gérés et les hooks des plugins chargés. Si les suppressions continuent de recevoir une invite ou un refus, consultez Pourquoi l’invite de suppression de chemin critique reste active
• has no effect in this session : les suppressions conservent leur invite ou leur refus habituel pendant toute la session. Pour changer cela, trouvez votre cas dans Pourquoi l’invite de suppression de chemin critique reste active
• has no effect while the Windows registry cannot be read for managed settings : les suppressions conservent leur invite ou leur refus habituel, et la variable prend effet sans redémarrage si une lecture ultérieure du registre réussit. Si les suppressions continuent de recevoir une invite ou un refus, consultez Pourquoi l’invite de suppression de chemin critique reste active

​

Pourquoi l’invite de suppression de chemin critique reste active

• Autre chose gère les invites de permission : un --permission-prompt-tool ou un callback canUseTool de l’Agent SDK sans --permission-prompts none, un hook PermissionRequest avec n’importe quel matcher, ou un mod qui gère cet événement. Supprimez le hook, le mod, l’outil ou le callback et redémarrez claude
• Le panneau de chat de l’extension VS Code ou l’application Desktop exécute la session : démarrez plutôt claude dans un terminal, comme le terminal intégré d’un IDE
• Une règle couvre Bash, Edit ou Read : une règle deny ou ask qui cible l’un de ces outils, au lancement ou dès que Claude Code la lit pendant la session, même si vous la supprimez ensuite. Supprimez la règle et redémarrez claude. Pour exclure un outil, utilisez --tools au lieu d’une règle deny
• permissions.blockReadsOutsideWorkingDirectories est activé : supprimez le paramètre de chaque fichier de paramètres qui le définit sur true, puis redémarrez claude
• claude s’exécute à l’intérieur d’une autre session : un claude démarré depuis l’outil Bash d’une session ou depuis un hook, même avec la variable sur sa ligne de commande. Démarrez claude depuis votre propre shell. Ne comptez pas sur cette limite des sessions imbriquées comme frontière de sécurité
• Un hook PreToolUse répond ask pour une suppression : modifiez ce que le hook retourne
• Claude Code démarre la session pour vous : les sessions en arrière-plan, les coéquipiers d’une équipe d’agents dans des volets divisés et les sessions créées par un serveur Remote Control démarrent sans la variable. Démarrez claude depuis votre propre shell
• Les paramètres gérés ne peuvent pas être lus : Claude Code n’a pas réussi à lire vos sources de paramètres gérés. Si les paramètres gérés par le serveur continuent d’échouer au chargement, consultez Remote managed settings failed to load. Pour tout autre échec qui n’est pas une requête au registre, demandez à la personne qui gère cette source de le corriger
• Le registre Windows ne peut pas être interrogé : sous Windows et dans WSL, la variable nécessite une réponse du registre, même quand WSL ne l’utilise pas pour les paramètres. La requête peut échouer pendant toute la session sur un Windows non anglophone, dans WSL avec l’interop désactivée, ou dans un conteneur sur un noyau WSL2. Si l’interop est désactivée, activez-la. Sinon, exécutez ces suppressions vous-même

​

Remove-Item dans PowerShell

• Chemins système : la racine du système de fichiers et ses répertoires de niveau supérieur, les racines des lecteurs et leurs répertoires de niveau supérieur, et votre répertoire personnel. Claude Code refuse la commande dans tous les modes, sans vous demander.
• Wildcards : un * nu, ou n’importe quelle cible se terminant par /* ou \*, y compris un glob sous une variable shell comme $dir/*. Claude Code refuse la commande dans tous les modes, sans vous demander, avant que le classificateur ne la voie.
• Votre répertoire de travail ou l’un de ses parents, avec -Recurse : Claude Code traite la commande comme n’importe quelle autre qui nécessite une approbation dans votre mode de permission, donc elle vous demande dans les modes qui demandent, l’envoie au classificateur en mode auto, et la refuse en mode dontAsk. Le mode bypassPermissions saute cette vérification.

​

Voir aussi

• Permissions : règles allow, ask et deny ; politiques gérées
• Configurer le mode auto : indiquez au classificateur l’infrastructure de confiance de votre organisation
• Hooks : logique de permission personnalisée via les hooks PreToolUse et PermissionRequest
• Sécurité : protections et bonnes pratiques
• Sandboxing : isolation du système de fichiers et du réseau pour les commandes Bash
• Mode non-interactif : exécutez Claude Code avec le flag -p