20 - Sicurezza e Privacy con Claude Code

// ~/.claude/settings.json - Impostazioni utente globali
{
  "permissions": {
    "allow": [
      "Read",
      "Glob",
      "Grep",
      "LS"
    ],
    "deny": [
      "Bash(rm -rf *)",
      "Bash(sudo *)",
      "Bash(chmod 777 *)",
      "Bash(curl * | bash)",
      "Bash(wget * | sh)"
    ],
    "auto_approve": [
      "Write(src/**/*.ts)",
      "Write(src/**/*.html)",
      "Write(src/**/*.css)",
      "Bash(npm test)",
      "Bash(npm run lint)",
      "Bash(npm run build)"
    ]
  },
  "mcp": {
    "trusted_servers": [
      "filesystem",
      "github"
    ],
    "untrusted_behavior": "ask"
  }
}

// Deny list raccomandata
{
  "permissions": {
    "deny": [
      // Comandi distruttivi
      "Bash(rm -rf /)",
      "Bash(rm -rf ~)",
      "Bash(rm -rf .)",
      "Bash(:(){ :|:& };:)",

      // Escalation di privilegi
      "Bash(sudo *)",
      "Bash(su *)",
      "Bash(chmod 777 *)",
      "Bash(chown *)",

      // Esecuzione remota non verificata
      "Bash(curl * | bash)",
      "Bash(curl * | sh)",
      "Bash(wget * -O - | bash)",
      "Bash(eval $(curl *))",

      // Operazioni di rete pericolose
      "Bash(nc -l *)",
      "Bash(ncat *)",
      "Bash(socat *)",

      // Modifica di file di sistema
      "Write(/etc/**)",
      "Write(/usr/**)",
      "Write(/var/**)",
      "Write(~/.ssh/**)",
      "Write(~/.aws/**)",
      "Write(~/.config/gcloud/**)",

      // Accesso a segreti
      "Read(~/.ssh/id_rsa)",
      "Read(~/.ssh/id_ed25519)",
      "Read(~/.aws/credentials)",
      "Read(**/.env.production)",
      "Read(**/secrets.*)",

      // Git force push
      "Bash(git push --force *)",
      "Bash(git push -f *)",
      "Bash(git reset --hard *)"
    ]
  }
}

# Nelle impostazioni dell'account Anthropic:
# 1. Vai su Settings > Privacy
# 2. Disattiva "Help improve Claude"
# 3. Questo disabilita l'uso dei tuoi dati per il training

# Verifica dalla CLI:
claude settings --show privacy
# Output:
# {
#   "data_sharing": {
#     "help_improve_claude": false,
#     "usage_analytics": true,
#     "crash_reports": true
#   }
# }

# Per disabilitare tutto:
claude settings --set privacy.help_improve_claude false
claude settings --set privacy.usage_analytics false

# SBAGLIATO: segreti esposti nel prompt
claude "Configura il database con host: db.example.com,
user: admin, password: S3cr3tP@ss!, database: production"

# CORRETTO: riferimento a variabili d'ambiente
claude "Configura il database usando le variabili d'ambiente
DB_HOST, DB_USER, DB_PASSWORD, DB_NAME che sono già impostate
nel file .env (non leggere il file .env, usa solo i nomi delle variabili)"

# SBAGLIATO: chiave API nel codice
claude "Aggiungi la chiamata API con la chiave sk-1234567890abcdef"

# CORRETTO: usa placeholder e configurazione esterna
claude "Aggiungi la chiamata API leggendo la chiave dalla
variabile d'ambiente API_KEY. Non hardcodare mai la chiave nel sorgente."

# Pipeline di verifica codice AI-generated

# 1. Analisi statica automatica
npm run lint                          # ESLint per JavaScript/TypeScript
./mvnw checkstyle:check             # Checkstyle per Java
pylint src/                          # Pylint per Python

# 2. Scanning di sicurezza
npm audit                            # Vulnerabilità dipendenze npm
./mvnw dependency-check:check       # OWASP Dependency Check
snyk test                            # Snyk vulnerability scan
semgrep --config=auto src/           # Pattern di sicurezza

# 3. Secrets detection
gitleaks detect                      # Cerca segreti nel codice
trufflehog filesystem --directory=.  # Cerca credenziali hardcoded

# 4. Test automatizzati
npm test -- --coverage               # Unit test con coverage
npm run test:integration             # Test di integrazione
npm run test:e2e                     # Test end-to-end

# 5. Code review umana
# Revisione manuale con focus su:
# - Input validation
# - SQL injection
# - XSS (Cross-Site Scripting)
# - CSRF (Cross-Site Request Forgery)
# - Authentication/Authorization
# - Error handling (no sensitive info in errors)
# - Logging (no secrets in logs)

# Prompt che richiede default sicuri
claude "Implementa l'endpoint POST /api/users con i seguenti
requisiti di sicurezza OBBLIGATORI:

1. Input Validation:
   - Valida tutti i campi con Bean Validation annotations
   - Sanitizza input per prevenire XSS
   - Limita la lunghezza dei campi (nome max 100, email max 254)

2. SQL Injection Prevention:
   - Usa SOLO query parametrizzate (JPA/Hibernate)
   - MAI concatenare stringhe per query SQL

3. Authentication:
   - Endpoint protetto da JWT
   - Verifica ruolo ADMIN per creazione utenti

4. Password Security:
   - Hash con bcrypt (min 12 rounds)
   - MAI loggare o restituire la password
   - Validazione complessità (min 8 char, upper, lower, digit, special)

5. Error Handling:
   - Restituisci messaggi di errore generici all'utente
   - Logga dettagli tecnici solo nel log server
   - MAI esporre stack trace o dettagli interni

6. Rate Limiting:
   - Max 10 richieste per minuto per IP
   - Max 3 tentativi di creazione per account

7. Logging:
   - Logga creazione utente (audit trail)
   - MAI loggare dati sensibili (password, token)"

# .claudeignore - File esclusi dal contesto di Claude Code

# Segreti e credenziali
.env
.env.*
*.pem
*.key
*.p12
*.pfx
secrets/
credentials/
**/secrets.*
**/credentials.*

# Chiavi SSH e configurazioni sensibili
.ssh/
.aws/
.gcloud/
.azure/

# File di configurazione con password
**/application-prod.yml
**/application-prod.properties
**/database.yml
docker-compose.prod.yml

# Dati personali e GDPR
data/users/
data/personal/
exports/pii/
backups/

# File di grandi dimensioni (non utili per il contesto)
*.zip
*.tar.gz
*.sql.gz
node_modules/
dist/
build/
target/
.gradle/

# Vendor e dipendenze
vendor/
bower_components/

# Log che potrebbero contenere dati sensibili
logs/
*.log

# File temporanei
tmp/
temp/
.cache/

// /etc/claude-code/managed-settings.json
// Configurazione enterprise (richiede privilegi admin)
{
  "content_exclusion": {
    "global_patterns": [
      "**/.env*",
      "**/secrets/**",
      "**/credentials/**",
      "**/*.pem",
      "**/*.key",
      "**/application-prod.*"
    ],
    "enforce": true,
    "override_allowed": false
  },
  "permissions": {
    "deny": [
      "Bash(rm -rf *)",
      "Bash(sudo *)",
      "Bash(git push --force *)",
      "Write(/etc/**)",
      "Write(~/.ssh/**)"
    ],
    "max_auto_approve_scope": "project_only"
  },
  "data_handling": {
    "help_improve_claude": false,
    "log_retention_days": 30,
    "audit_all_operations": true
  }
}

// .claude/settings.json - Committato nel repository
// Condiviso tra tutti gli sviluppatori del team
{
  "project": {
    "name": "MyApp",
    "description": "Applicazione web enterprise"
  },
  "permissions": {
    "allow": [
      "Read",
      "Glob",
      "Grep",
      "Write(src/**)",
      "Write(tests/**)",
      "Write(docs/**)",
      "Bash(npm *)",
      "Bash(npx *)",
      "Bash(git *)"
    ],
    "deny": [
      "Write(.env*)",
      "Write(**/secrets/**)",
      "Read(.env.production)",
      "Bash(rm -rf *)",
      "Bash(sudo *)",
      "Bash(git push --force *)",
      "Bash(docker run --privileged *)",
      "Bash(npm publish)"
    ],
    "auto_approve": [
      "Read",
      "Glob",
      "Grep",
      "Bash(npm test)",
      "Bash(npm run lint)",
      "Bash(npm run build)"
    ]
  },
  "content_exclusion": [
    ".env*",
    "secrets/",
    "*.key",
    "*.pem",
    "docker-compose.prod.yml"
  ]
}

// Configurazione audit logging
// ~/.claude/settings.json
{
  "audit": {
    "enabled": true,
    "log_directory": "~/.claude/audit-logs/",
    "log_level": "detailed",
    "events": [
      "file_read",
      "file_write",
      "file_delete",
      "command_execute",
      "mcp_tool_invoke",
      "permission_request",
      "permission_granted",
      "permission_denied",
      "session_start",
      "session_end"
    ],
    "retention_days": 365,
    "format": "json"
  }
}

# Esempio di entry nel log di audit:
# {
#   "timestamp": "2026-02-14T10:23:45.123Z",
#   "session_id": "sess_abc123",
#   "user": "developer@company.com",
#   "event": "file_write",
#   "details": {
#     "file": "src/app/services/user.service.ts",
#     "operation": "modify",
#     "lines_changed": 15,
#     "permission": "auto_approved"
#   }
# }

# Script di setup per nuovo sviluppatore nel team
#!/bin/bash
# setup-claude-security.sh

echo "Configurazione sicurezza Claude Code per il team..."

# 1. Crea directory di configurazione
mkdir -p ~/.claude

# 2. Copia la configurazione base del team
cp /shared/team-config/claude-settings.json ~/.claude/settings.json

# 3. Verifica che la deny list sia attiva
echo "Verifico deny list..."
claude settings --show permissions.deny
echo ""

# 4. Verifica esclusione contenuti sensibili
echo "Verifico content exclusion..."
claude settings --show content_exclusion
echo ""

# 5. Disabilita data sharing per training
claude settings --set privacy.help_improve_claude false
echo "Data sharing per training: DISABILITATO"

# 6. Abilita audit logging
claude settings --set audit.enabled true
claude settings --set audit.log_level detailed
echo "Audit logging: ABILITATO"

# 7. Configura i server MCP approvati dal team
echo "Configurazione server MCP approvati..."
claude mcp trust github
claude mcp trust filesystem
echo "Solo server MCP approvati dal team sono abilitati"

# 8. Verifica configurazione finale
echo ""
echo "=== Configurazione Completata ==="
claude settings --show | head -30
echo ""
echo "Ricorda:"
echo "- Non includere MAI segreti nei prompt"
echo "- Fai code review di TUTTO il codice generato"
echo "- Segnala qualsiasi comportamento anomalo al team security"