Les Skills Claude Code à installer dès maintenant (2026)

Les Skills Claude Code à installer dès maintenant (2026)

Soixante-seize d'entre eux étaient conçus pour voler vos identifiants.

Ce chiffre provient d'un audit Snyk publié le mois dernier. Ils ont scanné 3 984 skills du registre skills.sh — la marketplace de skills multi-agents que Vercel a lancée en janvier — et ont découvert que 36 % présentaient un type de faille de sécurité. La plupart étaient du code négligé, des entrées non validées, des accès fichiers trop permissifs. Mais 76 étaient véritablement malveillants. Des keyloggers déguisés en assistants de linting. Des extracteurs de tokens enveloppés dans des skills de formatage d'apparence innocente. L'un se faisait passer pour un embellisseur Markdown tout en envoyant silencieusement le contenu de votre .env vers un endpoint externe à chaque invocation.

J'ai lu ce rapport un vendredi soir et j'ai immédiatement audité chaque skill que j'avais installé. J'en ai retiré trois que je ne pouvais pas entièrement vérifier. J'en ai remplacé deux par des alternatives provenant de sources de confiance. Et je suis resté avec une question qui me taraude depuis : avec plus de 60 000 skills désormais dans le registre, comment distinguer le signal du bruit sans confier accidentellement ses clés API à un inconnu ?

C'est le véritable sujet de cet article. Pas une liste de « outils sympas ». Une sélection filtrée, testée et assumée de 10 skills Claude Code que j'ai installés, utilisés sur de vrais projets, et que je recommanderais à un autre développeur sans hésiter. Je partagerai mes critères de filtrage exacts, les commandes d'installation, et — pour chaque skill — le moment précis où j'ai pensé « ok, ça a vraiment changé mon workflow ».

Il y a un détail avec l'un de ces skills qui se situe dans une zone grise juridique. Je serai honnête à ce sujet le moment venu.

Le filtre qui a éliminé 59 990 skills

Avant de parcourir la liste, vous devez comprendre comment j'évalue les skills. Le registre est massif. Trier par nombre d'installations aide, mais la popularité n'est pas la sécurité et la popularité n'est pas la qualité. J'ai vu des skills avec plus de 50 000 installations qui ne font presque rien d'utile.

Mon filtre comporte quatre questions. Un skill doit passer les quatre ou il n'est pas installé :

Est-ce qu'il résout une vraie douleur ? Pas un inconvénient théorique. Quelque chose qui me ralentit réellement ou produit de moins bons résultats sur de vrais projets. Si je ne peux pas pointer un moment précis dans le dernier mois où ce skill aurait aidé, il est écarté.

Est-ce qu'il fait gagner du temps réel ? Je parle de minutes mesurables, pas de « ça semble plus rapide ». Si le temps d'installation plus la courbe d'apprentissage dépasse ce que j'économiserais dans les deux premières semaines, la surcharge cognitive n'en vaut pas la peine.

La source est-elle fiable ? C'est là que le rapport Snyk a changé mon comportement. Je vérifie désormais trois choses : qui l'a publié (individu vs. organisation établie), si le dépôt a du code visible que je peux auditer, et si le skill demande des permissions cohérentes avec son objectif déclaré. Un formateur Markdown qui veut un accès réseau ? Désinstaller.

Puis-je le démontrer en action ? Je dois le voir produire un résultat que je n'aurais pas obtenu sans lui. Pas marginalement meilleur — notablement meilleur. Si j'installe un skill et que je ne peux pas montrer à quelqu'un un avant/après concret en dix minutes, il échoue à ce test.

Dix skills ont survécu. Voici le premier — et c'est celui qui rend la recherche des neuf autres trivialement facile.

1. find-skills — Le navigateur du registre à installer en premier

Éditeur : Vercel Labs | Installations : 418K+

Le registre de skills compte plus de 60 000 entrées. Le parcourir via une interface web est pénible. Le parcourir depuis l'intérieur de Claude Code, là où vous allez réellement utiliser ces skills, est le choix évident — et c'est exactement ce que fait find-skills.

npx skills add https://github.com/vercel-labs/skills --skill find-skills

Voici comment je l'utilise concrètement. La semaine dernière, j'ai démarré un nouveau projet impliquant l'analyse de factures PDF pour le pipeline comptable d'un client. Au lieu de basculer vers un navigateur, chercher dans le registre, lire des descriptions, copier des commandes d'installation — j'ai demandé directement à Claude. « Trouve-moi des skills liés à l'analyse de PDF. » Il a cherché, renvoyé cinq options avec descriptions et compteurs d'installation, et j'en ai choisi un et l'ai installé sans quitter mon terminal.

Toute l'interaction a pris environ 40 secondes. Ce n'est pas révolutionnaire en soi. Mais multipliez ça par chaque nouveau projet, chaque fois que vous vous demandez « est-ce que quelqu'un a déjà créé un skill pour ça ? » — et les économies de temps cumulées deviennent significatives.

Un point que j'apprécie : il vous montre le dépôt source avant l'installation. Vu le paysage sécuritaire que j'ai décrit plus tôt, c'est important. Vous pouvez vérifier d'un coup d'œil qui l'a créé et prendre une décision rapide de confiance avant que quoi que ce soit ne touche votre système.

Si vous n'installez rien d'autre de cette liste, installez celui-ci. C'est la porte d'entrée vers tout le reste. En parlant du reste — le skill suivant a fondamentalement changé mon approche du travail UI avec Claude.

2. frontend-design — Le skill qui a empêché mes UIs de ressembler à du généré par IA

Éditeur : Anthropic | Installations : 124K+

Je vais admettre quelque chose. Avant ce skill, chaque UI que je construisais avec Claude avait l'air... correct. Fonctionnel. Propre, même. Mais identique à toutes les autres interfaces générées par IA sur internet. Les mêmes coins arrondis, les mêmes dégradés bleu-violet, le même espacement suspicieusement parfait qui semblait pourtant sans âme.

Le problème n'était pas la capacité de codage de Claude. Le problème, c'est que Claude passait directement de « construis-moi une landing page » à l'écriture de HTML et CSS sans jamais s'arrêter pour réfléchir à la direction visuelle. Pas d'ambiance. Pas de justification de palette. Pas de système typographique. Juste... un bon goût par défaut, ce qui est une autre façon de dire aucun goût du tout.

npx skills add https://github.com/anthropics/skills --skill frontend-design -a claude-code

Ce que fait frontend-design est d'une simplicité trompeuse : il oblige Claude à s'engager dans une vraie direction visuelle avant d'écrire une seule ligne de code. Quand je l'invoque, Claude me pose 3 à 5 questions sur l'esthétique que je recherche. Pas des questions vagues comme « quel style voulez-vous ? » — des questions ciblées. Quelle émotion la page doit-elle créer ? Qui est l'audience et qu'attend-elle visuellement ? Y a-t-il des marques dont l'esthétique résonne avec ce que vous construisez ?

Puis il verrouille un design system. Tokens de couleur, échelle typographique, rythme d'espacement, patterns de composants. C'est seulement après que cette fondation existe qu'il commence à écrire du code.

J'ai utilisé ça sur une landing page SaaS pour un projet client via Ramlit le mois dernier. Le résultat donnait l'impression qu'un designer avait été impliqué. Pas parce que Claude est soudainement devenu designer — mais parce que le skill a imposé les mêmes contraintes qu'un bon designer s'imposerait. Les contraintes produisent de la cohérence. La cohérence produit la sensation de qualité.

La différence entre « UI générée par IA » et « UI qui a été construite avec l'IA » tient presque entièrement au fait que quelqu'un se soit arrêté pour définir le système visuel d'abord. Ce skill automatise cette pause.

Mais une bonne direction visuelle ne signifie rien si le code sous-jacent présente des failles d'accessibilité et des problèmes de performance. C'est là que le skill suivant gagne sa place.

3. web-design-guidelines — Plus de 100 règles que vous n'avez pas à retenir

Éditeur : Vercel Labs | Installations : 137K+

J'ai livré un composant de tableau de bord il y a deux semaines. Il avait fière allure. Fonctionnait parfaitement sur Chrome sur mon MacBook. Puis je l'ai passé dans l'audit de ce skill, et Claude a trouvé six problèmes que j'avais manqués : deux violations d'accessibilité (labels ARIA manquants sur des éléments interactifs, contraste de couleur insuffisant sur un bouton secondaire), un problème de performance (une image non optimisée chargée au-dessus de la ligne de flottaison sans lazy-load), et trois incohérences de layout qui auraient cassé sur des viewports plus petits.

npx skills add vercel-labs/agent-skills --skill web-design-guidelines -a claude-code

Vercel a intégré plus de 100 règles dans ce skill — standards d'accessibilité, bonnes pratiques de performance, patterns de design responsive, conventions HTML sémantique. Claude vérifie votre code contre toutes ces règles automatiquement.

Voici ce qui le distingue d'un linter. Les linters détectent les problèmes de syntaxe. Celui-ci détecte les problèmes de design. Des choses qu'un développeur frontend senior remarquerait en revue de code mais qu'un linter ne signalerait jamais. « Ce bouton est techniquement accessible mais la cible de toucher est trop petite pour le mobile. » « Ce layout fonctionne mais la hiérarchie visuelle ne guide pas correctement le regard. » Ce genre de retour.

J'ai commencé à l'exécuter comme vérification finale avant chaque PR frontend. Ça ajoute environ deux minutes à mon workflow et ça détecte systématiquement des choses que j'aurais livrées autrement. Deux minutes qui évitent la conversation « ah, je n'avais pas remarqué ça » en QA.

Les trois skills que j'ai couverts jusqu'ici gèrent la découverte, le design et la qualité du code. Le suivant opère à un niveau complètement différent — il change la façon dont Claude réfléchit avant de construire quoi que ce soit.

4. obra/superpowers — La phase de réflexion qui réduit les cycles de révision

Éditeur : obra (Jesse Vincent) | Catégorie : Brainstorming

Celui-ci ne génère pas de code. Il ne touche pas aux fichiers. Il ne produit aucun artéfact visible. Et c'est peut-être le skill le plus impactant de cette liste.

npx skills add https://github.com/obra/superpowers --skill brainstorming -a claude-code

Ce que fait superpowers, c'est insérer une phase de réflexion structurée avant que Claude ne commence à exécuter. Quand vous demandez à Claude de construire quelque chose — disons, un système d'authentification — le comportement par défaut est de foncer et de commencer à écrire du code immédiatement. C'est rapide, mais c'est le genre de rapidité qui mène à trois tours de « en fait, j'ai aussi besoin de... » et « attends, et pour... » révisions.

Avec ce skill actif, Claude fait une pause. Il fait remonter des contraintes que vous n'avez pas mentionnées. Des cas limites que vous n'avez pas envisagés. Des approches alternatives qui méritent d'être évaluées. Des modes de défaillance qui seraient coûteux à découvrir plus tard.

Je l'ai testé sur un système d'authentification multi-tenant pour un projet client. Sans le skill, Claude aurait construit un flux d'authentification mono-stratégie parfaitement fonctionnel que j'aurais ensuite dû faire évoluer quand le client aurait mentionné qu'il lui fallait Google SSO, des magic links ET l'email/mot de passe classique. Avec le skill, Claude m'a demandé d'emblée : quels fournisseurs d'authentification, quelle stratégie de session, des exigences multi-tenant, des préférences d'expiration de tokens ?

L'implémentation finale était radicalement meilleure dès le premier essai. Je l'ai suivi de façon informelle pendant un mois — environ 30 % de cycles de révision en moins sur les tâches où j'ai utilisé ce skill par rapport à celles où je ne l'ai pas fait. Ce n'est pas une étude scientifique. Mais le pattern était suffisamment constant pour que j'arrête de le désactiver.

Le skill fonctionne parce qu'il imite ce que les développeurs expérimentés font naturellement : réfléchir avant de coder. La plupart d'entre nous sautons cette étape quand nous utilisons l'IA parce que tout l'intérêt semble être la vitesse. Ce skill démontre — de façon convaincante — qu'une phase de réflexion de deux minutes fait gagner vingt minutes de retravail.

Bien, mieux réfléchir est puissant. Mais qu'en est-il de construire vos propres skills pour que Claude pense exactement comme vous en avez besoin ? C'est le skill numéro cinq.

5. skill-creator — Créez des skills personnalisés sans écrire de code

Éditeur : Anthropic

Chaque développeur a des workflows qu'il répète. Revue de code avec des critères spécifiques. Descriptions de PR dans un format particulier. Vérifications de validation de données contre un schéma connu. Vous expliquez ces workflows à Claude, il les exécute bien, puis à la session suivante vous les réexpliquez. Et encore.

npx skills add https://github.com/anthropics/skills --skill skill-creator

skill-creator vous permet de transformer n'importe quel workflow répétitif en un skill permanent de Claude Code en le décrivant en langage naturel. Aucun code requis. Vous lui dites ce que vous voulez que Claude fasse — les étapes, le format, les contraintes — et il génère un fichier SKILL.md complet que Claude charge automatiquement dans les sessions futures.

J'ai construit un skill /review pour mon propre processus de revue de code. J'ai des préférences spécifiques : je veux que les implications de sécurité soient signalées en premier, je veux que les préoccupations de performance soient séparées des préoccupations de style, je veux une notation de sévérité pour chaque constat, et je veux le résumé dans un format spécifique que mon équipe chez Ramlit reconnaît. Avant ce skill, je réexpliquais tout ça à chaque fois. Maintenant je tape /review et Claude sait déjà.

Tout le processus a pris une conversation. Décrivez le workflow, répondez à quelques questions de clarification, et le skill-creator génère le SKILL.md. Terminé.

Mais voici le vrai pouvoir — et c'est quelque chose que je n'ai apprécié qu'après avoir construit trois ou quatre skills personnalisés. Ils s'accumulent. Chaque skill personnalisé supprime une conversation de « configuration » de plus dans votre journée. Au bout d'un mois, Claude démarre une session en connaissant déjà votre format de revue, votre style de messages de commit, votre structure de documentation, vos préférences de tests. Il passe d'assistant générique puissant à votre assistant. Ce changement compte plus que n'importe quel skill individuel de cette liste.

Il y a un outil spécifique dans mon stack qui a énormément bénéficié de ce type de personnalisation : Obsidian. Et le skill suivant est spécialement conçu pour lui.

6. obsidian-skills — Parce que le Markdown d'Obsidian n'est pas du Markdown classique

Éditeur : kepano (Steph Ango, CEO d'Obsidian)

Si vous n'utilisez pas Obsidian, passez au skill numéro sept. Si vous utilisez Obsidian, ce skill vous épargnera une frustration spécifique que vous avez probablement déjà rencontrée.

Le Markdown standard et le Markdown d'Obsidian ne sont pas la même chose. Obsidian a sa propre syntaxe pour les liens internes ([[nom de la note]]), son propre système de requêtes (Bases, anciennement Dataview), des layouts Canvas, des blocs spécifiques aux plugins, et une douzaine d'autres extensions que les générateurs Markdown standard — y compris Claude — ne connaissent pas.

Sans ce skill, demander à Claude de générer du contenu compatible Obsidian est un exercice de correction manuelle. Les liens internes sortent comme des liens Markdown standards. Les requêtes Base sont formatées comme des blocs de code au lieu de requêtes actives. Les références Canvas cassent complètement.

/plugin marketplace add kepano/obsidian-skills

Ou clonez-le manuellement dans le répertoire .claude/ à l'intérieur de votre vault.

J'utilise Obsidian comme mon second cerveau pour les notes de projets, la recherche et les brouillons d'écriture. Quand j'ai demandé à Claude de générer une note de recherche avec des liens internes vers trois notes existantes, une requête Bases pour les pages associées, et un layout Canvas — sans ce skill, les trois ont cassé. Avec lui, tout a fonctionné du premier coup.

Le fait que ça vienne de Steph Ango lui-même — le CEO d'Obsidian — me donne confiance que le skill restera à jour au fil de l'évolution de la syntaxe d'Obsidian. C'est important pour un outil que j'utilise quotidiennement.

Ce skill a un périmètre limité. Il fait une seule chose. Mais pour les utilisateurs d'Obsidian, il fait cette chose parfaitement, et aucun autre skill du registre ne s'en approche. Maintenant — de la gestion des connaissances personnelles à la manipulation professionnelle de documents. Le prochain skill (ou plutôt, famille de skills) résout un problème qui m'agaçait depuis le lancement de Claude Code.

7. PDF / DOCX / PPTX / XLSX — L'analyse de documents qui fonctionne vraiment

Éditeur : Anthropic

Claude Code ne peut pas lire nativement la plupart des formats de documents. Vous pouvez coller du texte, bien sûr. Mais lui donner un PDF et poser une question sur la page 34 ? Un DOCX avec des tableaux intégrés ? Un fichier Excel avec plusieurs onglets ? Sans analyse dédiée, vous copiez-collez du contenu manuellement, perdez la mise en forme, manquez des tableaux, et gaspillez du temps que vous pourriez consacrer au vrai travail.

npx skills add https://github.com/anthropics/skills --skill pdf
npx skills add https://github.com/anthropics/skills --skill docx

Il existe des skills équivalents pour PPTX et XLSX suivant le même modèle depuis le même dépôt Anthropic.

Voici le moment où c'est devenu indispensable pour moi. Un client a envoyé un contrat SaaS de 40 pages en PDF. Il voulait que je examine les obligations techniques — SLAs de disponibilité, exigences de résidence des données, limites de débit API enfouies dans les termes. Normalement, c'est 90 minutes de lecture attentive, de croisement de clauses, de construction d'un résumé.

J'ai déposé le PDF dans mon répertoire projet, invoqué le skill, et demandé à Claude d'extraire toutes les clauses de résiliation, plafonds de responsabilité et termes de propriété des données. Résumé propre et structuré en 45 secondes. Pas un aperçu approximatif — une analyse clause par clause avec références de pages.

J'ai quand même lu le contrat moi-même après. Je n'externalise pas la revue juridique à une IA. Mais avoir le résumé de Claude comme carte signifiait que je savais exactement où concentrer mon attention. Les 90 minutes sont devenues 25.

Cette famille de skills est ennuyeuse. Il n'y a rien d'excitant dans l'analyse de documents. Mais les outils ennuyeux qui font gagner une heure par utilisation valent plus que les outils tape-à-l'œil qu'on invoque une fois et qu'on oublie. Et en parlant d'outils qui font gagner du temps de recherche — les deux prochains skills gèrent un type de recherche qui a traditionnellement été pénible à faire depuis un terminal.

8. x-research-skill — Recherche sur Twitter sans la facture API à 100 $/mois

Éditeur : rohunvora

Je dois être transparent sur celui-ci. Il fonctionne. Il est véritablement utile. Et il opère dans une zone grise que vous devriez comprendre avant de l'installer.

L'API officielle de Twitter coûte au minimum 100 $ par mois pour un accès significatif. C'est le niveau Basic. Pour de la recherche sérieuse — extraire des timelines d'utilisateurs, chercher des tweets par mot-clé, analyser des fils — il faut le niveau Pro ou supérieur. Pour un développeur indépendant qui fait de la recherche occasionnelle, c'est un coût difficile à justifier.

Ce skill contourne entièrement l'API. Il utilise l'émulation de client TLS pour extraire tweets, fils et timelines d'utilisateurs directement. Pas de clé API, pas de frais mensuels. Vous obtenez une capacité de recherche complète depuis votre terminal.

mkdir -p .claude/skills
cd .claude/skills
git clone https://github.com/rohunvora/x-research-skill.git x-research

Vous aurez besoin de Bun installé et d'une variable d'environnement X_BEARER_TOKEN configurée.

J'ai utilisé ça pour de la recherche de contenu — comprendre comment les développeurs parlent d'un framework avant d'écrire à son sujet, identifier les vrais points de douleur que les gens mentionnent (qui sont souvent différents de ce que les articles de blog couvrent), suivre le sentiment autour de nouvelles versions. Le mois dernier, j'ai extrait les 50 derniers tweets mentionnant une fonctionnalité spécifique de Claude Code, résumé le sentiment, et identifié les trois plaintes les plus récurrentes. Tout le processus a pris moins de deux minutes.

Maintenant, la partie honnête. L'émulation TLS pour contourner les restrictions d'API est une zone grise. Ce n'est pas illégal dans la plupart des juridictions — il n'y a pas de loi contre le fait de faire des requêtes HTTP qui ressemblent à celles d'un navigateur. Mais ça contourne le modèle d'accès prévu par Twitter, et les conditions d'utilisation de la plateforme sont une considération distincte. Je l'utilise pour la recherche, pas pour l'automatisation ou le scraping à grande échelle. Votre tolérance au risque peut différer de la mienne.

J'ai hésité à inclure ce skill. Je l'ai inclus parce qu'il résout un vrai problème — Twitter est une source critique pour le sentiment des développeurs et je ne devrais pas avoir à payer 1 200 $ par an pour y faire des recherches — mais je voulais que vous ayez toutes les cartes en main.

Le skill suivant repose sur une prémisse similaire d'« accéder à quelque chose qui est normalement bloqué », mais avec une approche technique complètement différente.

9. reddit-fetch — Recherche Reddit via une porte dérobée Gemini

Éditeur : ykdojo

Reddit bloque les requêtes des agents IA. Si vous avez essayé de récupérer du contenu Reddit depuis Claude Code, vous avez rencontré ce mur. Les requêtes sont rejetées, et vous voilà de retour à parcourir des fils manuellement et copier-coller des citations.

Ce skill adopte une approche créative : il passe par Gemini CLI — qui dispose d'un accès web en temps réel — via tmux, puis transmet les résultats à Claude. C'est essentiellement un relais. Claude demande à Gemini de récupérer le contenu Reddit, Gemini le fait (parce que l'accès du crawler de Google à Reddit est établi), et le contenu revient dans votre session Claude.

npx skills add https://github.com/ykdojo/claude-code-tips --skill reddit-fetch

Vous aurez besoin de Gemini CLI installé et authentifié pour que ça fonctionne.

Je l'utilise pour le même type de recherche que le skill Twitter mais pour un public différent. Les fils Reddit sur les outils de développement contiennent une franchise qu'on ne trouve pas dans les articles de blog ou les tweets. Les gens se plaignent plus honnêtement sur Reddit. Ils décrivent leurs frustrations réelles en détail. Quand je construis un outil ou écris sur une technologie, connaître les vraies plaintes — pas la version polie du « retour constructif » — est inestimable.

La semaine dernière, j'ai extrait les principaux fils de r/programming sur un outil de déploiement que j'évaluais. La frustration récurrente ne portait pas sur les fonctionnalités de l'outil (ce que chaque critique couvre) mais sur le fait que les mises à jour cassaient les configurations existantes. C'est le genre de signal qui change une décision technique. Je ne l'aurais pas trouvé en lisant le changelog ou les articles de blog de l'outil.

Avertissement : ce skill dépend de l'accès web continu de Gemini CLI et de la disponibilité de tmux dans votre environnement. Si l'un des deux casse, le skill cesse de fonctionner. C'est une chaîne de dépendances, et les chaînes de dépendances sont fragiles. Je l'utilise depuis environ six semaines sans problème, mais je ne construirais pas un workflow critique dessus.

Nous avons couvert la recherche, le design, la réflexion, l'analyse de documents et l'automatisation des workflows. Le dernier skill va ailleurs — un domaine qui me tient particulièrement à cœur étant donné mon travail en cybersécurité. Il trouve les vulnérabilités dans votre code avant qu'elles ne vous trouvent.

10. trailofbits/skills — L'analyse de sécurité par les meilleurs du domaine

Éditeur : Trail of Bits

Trail of Bits n'est pas un compte GitHub lambda. C'est l'une des firmes de recherche en sécurité les plus respectées au monde. Leur liste de clients inclut des audits de protocoles majeurs, des missions pour des entreprises Fortune 500, et un travail fondateur sur des outils comme Slither, Echidna et Manticore. Quand Trail of Bits publie de l'outillage de sécurité, je prête attention.

/plugin marketplace add trailofbits/skills
/plugin menu

Cette suite de skills intègre l'analyse statique CodeQL et Semgrep directement dans votre workflow Claude Code. Au lieu d'exécuter des scanners de sécurité séparément, de consulter des rapports dans une autre fenêtre, puis de revenir corriger les choses — Claude lance l'analyse, interprète les résultats, et peut corriger les problèmes dans la même session.

J'ai testé ça sur un module d'authentification que je venais d'écrire. Claude a signalé deux vulnérabilités d'injection potentielles — une dans la couche de validation d'entrée que j'avais considérée comme « suffisante » et une dans une requête de base de données que j'avais mal paramétrée — plus une surface d'attaque temporelle dans la fonction de comparaison de tokens. Des choses subtiles. Le genre de constats qui survivraient à une revue de code standard mais pas à un audit de sécurité dédié.

Les trois étaient corrigeables en moins de dix minutes. Sans le scan, ils auraient été livrés en production. Avec mon parcours chez xCyberSecurity, l'ironie de livrer du code d'authentification vulnérable aurait été particulièrement douloureuse.

C'est le skill que je recommande le plus urgemment à quiconque écrit du code qui gère l'authentification, le traitement des paiements ou les données utilisateurs. L'analyse statique ne remplace pas un test de pénétration complet — mais elle attrape les vulnérabilités évidentes qui représentent la majorité des brèches réelles. La lancer vous coûte cinq minutes. Ne pas la lancer vous coûte bien plus quand quelque chose tourne mal.

Le skill qui a failli figurer dans la liste

Je veux mentionner un skill qui n'a pas tout à fait passé mon filtre : un skill d'analyse de l'historique shell qui suit vos commandes les plus utilisées et suggère des alias. Idée intelligente. Mais quand je l'ai testé, le gain de temps était marginal — peut-être 30 secondes par jour — et il nécessitait un accès persistant à l'historique du shell, ce qui m'a semblé être plus de surface exposée que ce que je voulais. Il résolvait un vrai agacement mais pas une vraie douleur. Proche, mais mon filtre existe pour une raison.

Il y avait aussi un skill de visualisation de schéma de base de données avec des chiffres d'installation corrects. Joli rendu, mais je n'ai pas pu démontrer qu'il faisait quelque chose que je ne pouvais pas déjà faire avec un rapide \d+ dans psql ou un diagramme DataGrip. Le test « puis-je le démontrer en action ? » l'a éliminé.

Je mentionne ces cas parce que le filtre compte plus que la liste. Les skills vont et viennent. De nouveaux arriveront demain qui seront peut-être meilleurs que la moitié de ce que j'ai recommandé ici. Le filtre est ce qui vous protège d'installer 40 skills que vous n'utiliserez jamais tout en ratant les trois qui transformeraient votre workflow.

Une note sur la sécurité — Parce que 76 skills malveillants, ce n'est pas un petit nombre

J'ai ouvert cet article avec les conclusions de Snyk, et je veux boucler la boucle avant de conclure.

36 % des skills scannés présentaient des failles de sécurité. C'est plus d'un sur trois. Et 76 étaient activement malveillants — conçus pour voler des identifiants, exfiltrer des données, ou établir une persistance sur votre machine. Ce n'est pas un risque théorique. C'est l'état actuel de l'écosystème en mars 2026.

Voici ce que je fais concrètement :

Vérification de la source. Je privilégie fortement les skills d'Anthropic, Vercel Labs et des organisations établies (Trail of Bits, kepano/Obsidian). Pour les éditeurs individuels, je lis le code source avant d'installer. Oui, je le lis vraiment. Les fichiers SKILL.md sont généralement assez courts pour être examinés en cinq minutes.

Vigilance sur les permissions. Le skill demande-t-il des capacités cohérentes avec son objectif ? Un parser PDF a besoin d'un accès en lecture aux fichiers. Un outil de recherche Twitter a besoin d'un accès réseau. Un formateur de code qui veut les deux ? Suspect.

Le nombre d'installations n'est pas synonyme de confiance. Des compteurs élevés signifient popularité, pas sécurité. Le rapport Snyk a trouvé des skills malveillants avec des milliers d'installations. Les gens installent des choses sans les auditer. Ne soyez pas ces gens.

Audits réguliers. Une fois par mois, je passe en revue mes skills installés et je me demande : est-ce que j'utilise encore ça ? Le dépôt est-il toujours maintenu ? Quelque chose a-t-il changé dans les permissions ? Si je ne peux pas répondre avec confiance, je le supprime.

L'écosystème de skills est puissant. Il est aussi jeune, largement non modéré, et grandit plus vite que quiconque ne peut l'auditer. Traitez-le comme vous traiteriez n'importe quel écosystème de paquets — avec un enthousiasme tempéré par la prudence.

Ce qui change quand vous les installez vraiment

Je veux être précis sur l'impact cumulatif parce que les descriptions individuelles de skills le sous-estiment.

Avant d'adopter cette sélection, une session typique de Claude Code impliquait beaucoup de conversation de mise en place. Expliquer mes préférences de revue. Définir la direction visuelle pour une UI. Alimenter manuellement le contenu de documents. Lancer des scans de sécurité dans un terminal séparé. Parcourir Reddit sur mon téléphone pour vérifier le sentiment des développeurs sur une bibliothèque avant de m'y engager.

Après — et cela a pris environ deux semaines d'adoption progressive, pas une transformation du jour au lendemain — la majeure partie de cette friction a disparu. Claude démarre les sessions avec mes workflows déjà chargés. Le travail de design commence par une vraie conversation esthétique plutôt que des choix par défaut. L'analyse de documents se fait dans le terminal. Le scan de sécurité fait partie du processus de build, pas d'une réflexion après coup.

Les gains de temps sont réels mais difficiles à quantifier précisément. Mon estimation approximative : 40 à 60 minutes par jour en cumulant toutes les petites efficiences. Une partie est un gain direct (analyse de documents, recherche). Une partie est indirecte (moins de cycles de révision grâce à une meilleure réflexion en amont, moins de bugs grâce au scan de sécurité automatisé). Une partie est simplement l'effet composé de la suppression de petites frictions — du genre qui semblent individuellement triviales mais qui, collectivement, fragmentent votre concentration.

Le changement le plus important est qualitatif. Claude Code est passé d'un outil que j'utilise à un outil qui sait comment je travaille. C'est une relation différente avec vos outils, et c'est une relation qui mérite d'être construite intentionnellement.

À votre tour

Vous n'avez pas besoin des dix. Vous n'avez peut-être même pas besoin de la moitié. Mais voici ce que je parierais : au moins deux ou trois résolvent un problème que vous contournez actuellement manuellement. Et le premier — find-skills — prend 30 secondes à installer et rend la recherche des autres trivialement facile.

Alors voici le défi. Avant de fermer cet onglet, ouvrez votre terminal et lancez :

npx skills add https://github.com/vercel-labs/skills --skill find-skills

C'est tout. Une commande. À partir de là, vous pouvez explorer le registre depuis l'intérieur de Claude Code, évaluer les skills selon vos propres critères de filtrage, et construire un stack qui correspond à votre façon de travailler à vous — pas à la mienne ni à celle de qui que ce soit d'autre.

L'écosystème de skills est désordonné, évolue vite, et est parfois dangereux. C'est aussi le plus grand multiplicateur de force disponible pour les utilisateurs de Claude Code en ce moment. Les développeurs qui définiront leur stack de skills personnel tôt construiront plus vite, livreront plus proprement, et détecteront les problèmes plus tôt que ceux qui continueront à utiliser Claude Code en version standard.

Soixante mille skills existent. Vous en avez besoin de dix, peut-être. Choisissez-les soigneusement, auditez-les honnêtement, et laissez-les se cumuler.

Lequel allez-vous installer en premier ?

Let's Work Together

Looking to build AI systems, automate workflows, or scale your tech infrastructure? I'd love to help.

• Fiverr (custom builds & integrations): fiverr.com/s/EgxYmWD
• Portfolio: mejba.me
• Ramlit Limited (enterprise solutions): ramlit.com
• ColorPark (design & branding): colorpark.io
• xCyberSecurity (security services): xcybersecurity.io