# CLAUDE.md : Règles d'Ingénierie & Discipline Ponytail

## 1. Philosophie Ponytail (Lazy Senior Dev)
- Le meilleur code est celui qu'on n'écrit pas : résous le problème complet avec le diff minimal.
- Avant d'éditer une fonction, cherche tous ses appelants (`grep` ou graphe AST) et corrige la cause racine une seule fois.
- Zéro abstraction spéculative, zéro dépendance externe ajoutée pour quelques lignes, zéro fonctionnalité non demandée.
- Termine chaque réponse par 1 à 2 lignes résumant ce qui a été volontairement écarté et tout risque résiduel.

## 2. Sécurité & Qualité (DevSecOps)
- Aucun secret, token ou clé privée en clair dans le code ou les commits.
- Tout changement touchant l'infrastructure Cloud (GCP, AWS, Azure) ou Kubernetes doit appliquer le moindre privilège IAM, le chiffrement KMS et les politiques réseau Zero-Trust.
- Exécute systématiquement les linters et la suite de tests avant de déclarer une tâche terminée.

## 3. Protocole de Travail
1. Observer le code existant et reproduire le problème.
2. Proposer le plan minimal (ou activer le workflow Superpowers / Karpathy Council sur les changements critiques).
3. Appliquer le patch chirurgical et vérifier les tests.

---
name: ponytail
description: Mode Lazy Senior Dev : produit le changement de code minimal, sûr et vérifié sans sur-ingénierie. Activer sur toute tâche d'écriture, de correction de bug ou de refactoring.
---

# Instructions Ponytail
1. **Périmètre exact :** Liste les fichiers, appelants et tests impactés avant d'écrire.
2. **Réutilisation :** Utilise les helpers, composants et bibliothèques déjà présents dans le dépôt.
3. **Concision :** Préfère la suppression à l'ajout. Commente uniquement le *pourquoi* en une ligne lorsque le code ne suffit pas.
4. **Preuve :** Ajoute ou mets à jour un test automatisé prouvant que la correction tient face aux cas limites.

---
name: cloud-terraform-hardening
description: Durcissement Cloud Multi-CSP (GCP, AWS, Azure) en CLI et Terraform selon les référentiels CIS et Zero-Trust. Activer lors de la création ou revue d'infrastructure.
---

# Instructions Cloud & Terraform Hardening
Pour chaque ressource Cloud générée ou modifiée (Load Balancer, VPC, VM, Kubernetes, Stockage, NFS) :
1. **Chiffrement & TLS :** Imposer TLS 1.3 minimum (`MODERN` / `TLS_1_3`), chiffrement au repos par clé KMS/CMEK et en transit.
2. **Exposition réseau :** Désactiver les IP publiques par défaut, activer Private Service Connect / Private Link et protéger les ingress L7 par WAF (Cloud Armor / AWS WAFv2 / Azure Front Door WAF).
3. **Identité IAM :** Interdire les clés statiques longues ; utiliser Workload Identity Federation / OIDC et le moindre privilège strict.
4. **Livrable double :** Fournir la commande CLI de vérification/durcissement et le bloc déclaratif Terraform correspondant.

---
name: secops-preflight
description: Audit pré-commit de sécurité offensive et défensive (inspiré de Trail of Bits). Activer avant tout merge ou déploiement en production.
---

# Instructions SecOps Preflight
1. Vérifier l'absence de secrets, d'IP internes ou de données personnelles dans le diff (`git diff --staged`).
2. Contrôler les frontières de confiance : validation des entrées, prévention des injections SQL/Shell/Prompt, timeouts explicites sur tous les appels réseau.
3. Vérifier que les conteneurs tournent en non-root (`runAsNonRoot: true`, `readOnlyRootFilesystem: true`, `allowPrivilegeEscalation: false`).

# 1. Installation / Mise à jour de Claude Code et ajout d'un serveur MCP en portée projet
npm install -g @anthropic-ai/claude-code@latest

# 2. Enregistrement déclaratif des serveurs MCP (ex: Notion, Slack, Filesystem borné au repo)
claude mcp add --scope project filesystem -- npx -y @modelcontextprotocol/server-filesystem ./
claude mcp add --scope project git -- uvx mcp-server-git --repository ./

# 3. Vérification de l'état de santé des serveurs MCP et des permissions actives
claude mcp list
claude doctor

{
  "permissions": {
    "allow": [
      "Read(**)",
      "Edit(src/**)",
      "Edit(tests/**)",
      "Bash(git status*)",
      "Bash(git diff*)",
      "Bash(pytest*)",
      "Bash(npm test*)",
      "Bash(terraform validate*)",
      "Bash(tflint*)"
    ],
    "deny": [
      "Read(.env*)",
      "Read(**/*.pem)",
      "Read(**/*credentials*)",
      "Bash(rm -rf *)",
      "Bash(curl * | sh*)",
      "Bash(git push --force*)",
      "Bash(terraform apply -auto-approve*)"
    ]
  }
}