Accueil / Sécurité et données

Ce qui quitte la machine, ce qu'on archive, ce qu'on ne partage jamais

Une requête envoie sur le réseau le texte du prompt et les réponses du modèle, chiffrés en transit, et la copie locale de cet échange reste ensuite lisible en clair sur le disque pendant une durée fixée par défaut ; supprimer un fichier ne laisse aucun chemin de retour alors qu'archiver le garde disponible et réversible ; et un document interne riche en détails devient dangereux dès qu'il part vers l'extérieur, pour la raison même qui le rend utile en interne, ce qui exige un inventaire brut puis une relecture adversariale avant tout envoi.

Une conversation avec Claude Code envoie sur le réseau le texte de la requête et les réponses du modèle, chiffrés en transit par TLS 1.2 ou une version supérieure, selon la documentation officielle du produit. Ce qui reste ensuite sur la machine locale n'est pas effacé pour autant : les transcripts de session sont conservés en clair sur le disque, dans le dossier des projets de l'utilisateur, pendant trente jours par défaut, pour permettre de reprendre une session interrompue. Une exception documentée écarte cette limite : une session démarrée ou reprise en dernier dans Claude Desktop ou Cowork échappe par défaut à ce délai de trente jours, son transcript reste donc en clair sur le disque sans effacement automatique programmé.

Ce qu'une requête envoie réellement

Deux faits se complètent. Le premier : chaque prompt et chaque réponse du modèle quittent la machine au moment où une requête part. Le second, moins visible : la copie locale de cet échange ne disparaît pas à la fin de la conversation, elle reste lisible en clair pendant une période fixée par défaut. Un secret collé une seule fois dans une conversation existe donc à deux endroits au moins après coup, sur le réseau au moment de l'envoi et sur le disque local pendant des semaines, ce qui rejoint la règle de ne jamais faire transiter un identifiant sensible par une conversation, développée dans la leçon sur les secrets qui ne doivent jamais transiter.

Archiver plutôt que supprimer

Une suppression définitive de fichier retire l'information sans laisser de chemin de retour. Un déplacement vers un dossier d'archive garde la même information disponible tout en la sortant du chemin de travail courant, et reste annulable à tout moment. La différence tient à une seule commande.

mkdir brouillon_a_ranger
echo note périmée > brouillon_a_ranger\vieux.txt
mkdir _ARCHIVES
move brouillon_a_ranger\vieux.txt _ARCHIVES\vieux_2026-09-02.txt
dir _ARCHIVES

Le dossier _ARCHIVES contient désormais le fichier, encore lisible, encore récupérable, sous un nom daté qui évite d'écraser sans avertir un fichier homonyme déjà présent dans ce dossier. La même suite d'étapes avec une suppression à la place du déplacement rendrait ce fichier définitivement perdu dès la première commande.

Une base interne se filtre avant de sortir

Un document interne écrit sans filtre l'est justement parce qu'il sert en interne : il nomme des montants d'achat, des marges, des chemins de serveur, des personnes. Cette même richesse devient un risque dès que le document part vers un outil tiers de mise en forme ou vers une personne extérieure. Deux passes séparées corrigent ce risque. La première est un inventaire brut : relever chaque donnée sensible présente dans le document, sans encore juger si elle doit rester. La seconde est une relecture adversariale : se demander, ligne par ligne, ce qu'un lecteur hostile en tirerait, une fuite commerciale, une donnée qui incrimine son auteur, une affirmation fragile qu'il pourrait retourner contre l'organisation. Une lecture unique, faite en cherchant seulement les fautes de forme, ne remplace pas cette seconde passe.

Les trois réflexes partagent la même logique : savoir ce qui part, garder ce qui peut encore servir, et filtrer ce qui reste interne pour une bonne raison avant de le faire sortir.