Claude Code Skills : créer, installer et utiliser en toute sécurité

Vous copiez sans cesse la même liste de contrôle dans le chat ? Un skill s'en charge une fois pour toutes. Les Claude Code Skills sont des dossiers contenant un fichier SKILL.md, qui rassemble des instructions pour des tâches récurrentes. Claude les charge lui-même lorsque votre demande correspond, ou vous les appelez avec /nom. Vous verrez ensuite comment les créer, les installer, les situer par rapport aux autres fonctions et les vérifier.
Toutes les indications proviennent de la documentation officielle de Claude Code et de la plateforme (sources ci-dessous), état d'octobre 2026.
Que sont les Claude Code Skills et comment Claude les charge-t-il ?
Un skill est un fichier SKILL.md contenant des instructions. Il est utile lorsque vous copiez sans cesse la même liste de contrôle ou le même déroulement dans le chat. Les skills suivent le standard ouvert « Agent Skills ». Claude Code l'enrichit de fonctions comme le contrôle de l'appel et l'exécution dans un sous-agent.
Le principe de chargement, que la documentation appelle « Progressive Disclosure », est déterminant :
- Toujours dans le contexte : le nom et la description de chaque skill, pour que Claude sache ce qui est disponible.
- Au besoin : le contenu complet, dès que vous tapez
/nomou que Claude trouve un skill correspondant à la demande. - Seulement à l'accès : les fichiers fournis, par exemple des références ou des scripts. Un script est exécuté, et seule sa sortie occupe du contexte, pas son code.
La description coûte environ 100 tokens par skill, le corps de SKILL.md reste sous 5 000 tokens. Les détails doivent donc aller dans des fichiers annexes plutôt que dans SKILL.md. Ils ne coûtent alors presque rien tant que Claude n'en a pas besoin.
Où se trouvent les skills et comment les installer ?
Pour vos propres skills, un dossier suffit. La documentation indique ces emplacements :
~/.claude/skills/<name>/SKILL.md: personnel, pour tous vos projets..claude/skills/<name>/SKILL.md: dans le projet. Si vous commitez le dossier, votre équipe l'a aussi.<plugin>/skills/<name>/SKILL.md: skills issus de plugins, appelables sous la forme/plugin-name:skill-name.- Entreprise : skills placés dans le répertoire des paramètres gérés (managed settings) d'une organisation. Ils s'appliquent à tous les utilisateurs des postes sur lesquels l'organisation les déploie.
En cas de noms identiques : entreprise avant personnel, personnel avant projet. Les skills de plugins ont leur propre espace de noms et n'entrent pas en collision.
Pour des skills tiers, « installer » signifie le plus souvent : ajouter une place de marché de plugins (plugin marketplace) et choisir un plugin. Le dépôt officiel anthropics/skills décrit cette voie :
/plugin marketplace add anthropics/skills
/plugin install document-skills@anthropic-agent-skills
/plugin install example-skills@anthropic-agent-skills
Vous pouvez aussi ouvrir /plugin et choisir « Browse and install plugins ». Un plugin regroupe skills, sous-agents, hooks et serveurs MCP en une seule unité. Pour un skill isolé, inutile de l'empaqueter : un dossier avec SKILL.md suffit.
Skill, CLAUDE.md, commande slash, sous-agent ou MCP : que choisir et quand ?
Ces fonctions résolvent des problèmes différents et se complètent. Le tableau résume la vue d'ensemble officielle « Extend Claude Code » et la page consacrée aux skills.
| Fonction | Ce que c'est | Quand elle se charge | Usage typique |
|---|---|---|---|
| Skill | Instructions, connaissances et déroulements | Description toujours, contenu au besoin | Matériel de référence, tâches reproductibles |
| CLAUDE.md | Contexte permanent | À chaque session | Conventions, règles « Fais toujours X » |
Commande slash (.claude/commands/) | Fichier Markdown qui crée une /commande | À l'appel | Les commandes existantes continuent de fonctionner ; les skills ajoutent des fichiers annexes et le contrôle de l'appel |
| Sous-agent | Worker isolé avec sa propre fenêtre de contexte | Au lancement | Tâches qui lisent de nombreux fichiers ; seul un résumé revient |
| Serveur MCP | Connexion à des services externes | Au démarrage de la session (noms des outils) | Base de données, Slack, navigateur |
La règle empirique : ce que Claude doit toujours savoir va dans CLAUDE.md, qui devrait rester sous 200 lignes. Ce qui n'est nécessaire que parfois, ou qui constitue un déroulement, va dans un skill. Quand CLAUDE.md devient une procédure, c'est le moment de passer à un skill.
MCP et skills ne sont pas concurrents. MCP fournit les outils, un skill explique comment les utiliser à bon escient, par exemple avec un schéma et des modèles de requêtes. Si quelque chose doit se produire à coup sûr chaque fois, les hooks sont le moyen. Une règle dans un skill est une demande, pas une garantie.
Comment créer mon propre skill en 5 minutes ?
- Créez le dossier :
mkdir -p ~/.claude/skills/commit-nachricht. - Créez-y le fichier
SKILL.md. Les métadonnées se placent entre deux lignes---, tout au début du fichier. - Indiquez dans
descriptionce que fait le skill et quand il doit s'appliquer, de préférence à la troisième personne. Facultativement,when_to_useajoute d'autres déclencheurs, comme des formulations typiques. Le texte est ajouté à la description. - Rédigez en dessous les instructions et externalisez les références dans des fichiers à part.
- Testez avec
/commit-nachrichtou avec une question adaptée.
---
name: commit-nachricht
description: Schreibt eine Commit-Nachricht aus den vorgemerkten Änderungen. Zu verwenden, wenn nach einer Commit-Nachricht gefragt wird.
---
## Vorgemerkte Änderungen
!`git diff --staged`
## Anweisungen
Fasse die Änderungen oben in einer Betreffzeile und zwei bis drei Stichpunkten zusammen.
Nenne Risiken wie fehlende Fehlerbehandlung. Ist der Diff leer, sage das.
La ligne avec le point d'exclamation exécute la commande avant que Claude ne voie le texte. Sa sortie remplace l'espace réservé. Le nom peut compter au plus 64 caractères, uniquement des minuscules, des chiffres et des tirets. La description est limitée à 1 024 caractères, SKILL.md devrait rester sous 500 lignes. Claude Code surveille les répertoires de skills, les modifications s'appliquent au sein de la session. Vous trouverez un guide détaillé dans notre guide des skills.
Quels Claude Code Skills valent la peine, et où les trouver sur GitHub ?
La source officielle est le dépôt github.com/anthropics/skills. Il contient des exemples issus de quatre domaines : création et design, développement et technique (par exemple tests d'applications web et génération de serveurs MCP), entreprise et communication, ainsi que des skills de documents pour docx, pdf, pptx et xlsx. Un dossier template/ fournit un modèle.
Deux remarques issues du dépôt : de nombreux skills sont sous licence Apache 2.0, mais les quatre skills de documents sont uniquement consultables, pas open source. Et, selon l'éditeur, les skills sont destinés « à des fins de démonstration et d'enseignement ». Testez-les à fond avant de vous y fier pour des tâches critiques.
Il n'existe pas de classement général « best claude code skills ». Ce qui compte, c'est ce qui couvre vos tâches récurrentes : listes de contrôle de revue, déroulements de release, connaissances de schémas et d'API. Une collection issue de la pratique est proposée par la base de données de skills de notre communauté. Comme paquet complémentaire avec skills et règles de contrôle pour Claude Code, il existe en outre Code Guardian.
Quel est le niveau de sécurité des skills tiers ?
Un skill est un logiciel auquel Claude peut obéir. Anthropic recommande de n'utiliser que des skills de sources fiables, c'est-à-dire écrits par vous-même ou par Anthropic. Un skill malveillant peut amener Claude à utiliser des outils ou du code autrement que ne l'indique son objectif. Les conséquences possibles sont une fuite de données ou un accès non autorisé.
Vérifiez avant l'utilisation :
- Lire tous les fichiers : SKILL.md, scripts et ressources. Soyez attentif aux accès réseau ou fichiers inattendus.
- Se méfier des appels externes : les contenus chargés peuvent contenir des instructions, et les dépendances peuvent changer par la suite.
- Vérifier
allowed-tools: les autorisations d'un skill de projet s'appliquent aussi dans des dossiers non fiables. - Traiter les plugins à part : ils peuvent contenir des hooks et des serveurs MCP qui exécutent du code avec vos droits d'utilisateur.
/pluginmontre avant l'installation ce qu'un plugin apporte. - Tenir compte des mises à jour automatiques : le plugin vérifié peut changer en arrière-plan.
Deux paramètres aident en la matière. L'option disableSkillShellExecution remplace les commandes shell intégrées dans les skills par un espace réservé. Elle est surtout utile dans les paramètres gérés d'une organisation. Avec skillOverrides dans les paramètres, vous réglez un skill tiers sur « on », « name-only », « user-invocable-only » ou « off », sans modifier son fichier.
Questions fréquentes
Puis-je n'appeler un skill qu'à la main ?
Oui. Avec disable-model-invocation: true, Claude ne charge pas le skill de lui-même, et sa description reste hors du contexte. Vous le lancez alors avec /nom. La documentation le recommande pour les skills ayant des effets de bord, comme les déploiements.
Ai-je besoin d'un plugin pour utiliser des skills ?
Non. Un skill dans ~/.claude/skills/ fonctionne seul. Un plugin vaut la peine si vous voulez distribuer plusieurs skills, sous-agents, hooks ou serveurs MCP comme une seule unité, par exemple sur plusieurs dépôts.
Combien de contexte coûtent de nombreux skills ?
De façon permanente, seulement le nom et la description, environ 100 tokens par skill. Des descriptions vagues ou qui se recoupent peuvent conduire Claude à charger le mauvais skill. Formulez donc concrètement ce que fait le skill et quand il s'applique.
Existe-t-il des limites de longueur ?
SKILL.md devrait rester sous 500 lignes. Le nom est limité à 64 caractères, la description à 1 024. Claude Code tronque en outre la description et when_to_use ensemble à 1 536 caractères dans le répertoire des skills.
Dois-je redémarrer Claude Code après des modifications ?
En général non. Claude Code prend en compte les skills nouveaux, modifiés ou supprimés au sein de la session. Si vous créez en pleine session un tout nouveau répertoire skills/, exécutez /reload-skills.
Comment partager des skills en équipe ?
Placez-les sous .claude/skills/ dans le projet et commitez-les. Pour plusieurs dépôts, un plugin est indiqué. Les skills de claude.ai et de l'API ne se synchronisent pas avec Claude Code. Vous trouverez de l'aide pour la mise en place en équipe sous développement IA.
Sources
- Documentation Claude Code : Extending Claude Code with Skills
- Documentation Claude Code : Extend Claude Code (comparaison des fonctions)
- Documentation Claude Code : Plugins overview
- Documentation Claude Code : Plugin security and trust
- Anthropic: Agent Skills Overview
- Anthropic: Skill authoring best practices
- GitHub: anthropics/skills (dépôt officiel)
État : octobre 2026. Information générale ; les fonctions de Claude Code évoluent fréquemment.
Partager l’article
Restez informé
Recevez les derniers articles, analyses et actualités du secteur directement dans votre boîte mail.
Décidez vous-même ce que Google vous montre
Google vous laisse choisir quelles sources apparaissent en priorité dans vos résultats de recherche : dans les actualités et dans les réponses IA. Deux clics, et vous voyez les sites auxquels vous faites confiance.
Ajouter provimedia.de à mes sources préféréesArticles similaires
D’autres articles susceptibles de vous intéresser.
Claude Code Security et revue de code : comment vérifier le code IA avant sa mise en ligne
Ce que Claude Security et /security-review d’Anthropic vérifient, ce qu’ils ne vérifient pas, et comment faire relire automatiquement chaque diff de Claude Code et bloquer les commandes dangereuses.
Code Guardian 17.17 : « terminé » signifie désormais : objectif mesuré
Qu'apporte Code Guardian 17.17 ? Une preuve centrale bloque la clôture, l'agent s'arrête après chaque ajustement, les petites modifications demandent moins de contrôle. Une limite reste ouverte.
Code Guardian 17.16 : terminé seulement avec preuve, et une faille dans les verrous
Quand une tâche est-elle terminée ? Depuis la 17.15, seulement avec preuve. Ce tour d'horizon des versions 17.14 à 17.16 indique aussi ce que les verrous interceptent désormais et quelle faille subsiste.
Des contrôles impossibles à contourner
Le pack de skills pour Claude Code et OpenAI Codex : sept gates avant le déploiement, la migration, une nouvelle dépendance, un jugement sur les données, un constat, une question d'options et un texte juridique. Licence d'entreprise, nombre illimité de développeurs au sein de l'entreprise.