# Vérifier un dépôt avant de l’installer

Collez un lien GitHub pour savoir si un skill, un plugin, un serveur MCP ou une configuration d’application vaut la peine d’être installé dans votre assistant IA.

## À quoi ça sert

Les assistants IA comme Claude Code et Codex peuvent installer des skills, des plugins et des connexions d’outils (serveurs MCP) directement depuis GitHub. Chacun peut donner de nouvelles instructions à votre assistant, lancer des actions automatiquement et accéder à vos fichiers et à vos clés. Une vérification de dépôt lit une version exacte du dépôt et vous indique, en termes simples, s’il faut l’installer.

Vous n’avez pas besoin de compte. Collez l’un de ces éléments dans la zone de la page d’accueil de Lockpick, ou sur [Vérifier](/check) :

* un lien vers un dépôt, comme `github.com/owner/repo`
* un lien vers un dossier ou un fichier du dépôt, comme `github.com/owner/repo/tree/main/skills/pdf`
* la commande d’installation indiquée dans le README, comme `/plugin marketplace add owner/repo` ou `npx skills add owner/repo`
* simplement `owner/repo`
* un paquet, par sa page npm comme `npmjs.com/package/name` ou sa ligne de lancement comme `npx -y name` ou `uvx name`. Lockpick trouve le dépôt GitHub qu’indique le paquet.

Lockpick lit le dépôt et n’exécute jamais rien de ce qu’il contient. Seuls les dépôts GitHub publics peuvent être vérifiés pour l’instant.

## Aucune preuve de propriété

Un scan Deep d’un site demande de prouver que le site vous appartient, car Lockpick lui envoie des requêtes. Une vérification de dépôt ne fait que lire du code public et n’en exécute rien, elle n’a donc besoin d’aucune preuve : vous pouvez vérifier n’importe quel dépôt public, le vôtre ou celui de quelqu’un d’autre.

## Ce que vous obtenez

En haut, vous obtenez l’une de trois réponses : **Ne pas installer**, **Installer avec prudence** ou **Rien de risqué trouvé**. Sous cette réponse, chaque constat indique ce qui pourrait vous arriver et ce qu’il faut faire. Choisissez **Technique** pour voir le fichier et la ligne, les preuves, et une consigne que l’auteur peut coller dans son assistant de code pour corriger le problème.

> **Careful**
>
> Si nous n’avons pas pu lire tous les fichiers, par exemple un programme
> compilé ou une archive protégée par mot de passe, la réponse n’est jamais
> **Rien de risqué trouvé**. Les fichiers que nous n’avons pas pu lire sont
> inconnus, et non sains.

## Ce que cela recherche

* **Texte caché.** Caractères invisibles, commentaires cachés et texte encodé que les personnes qui lisent le fichier ne voient pas, mais que votre assistant suit quand même.
* **Actions automatiques.** Hooks et réglages de Claude Code qui lancent des commandes d’eux-mêmes, envoient ailleurs ce que vous tapez, ou désactivent les invites qui vous demandent d’abord votre autorisation.
* **Téléchargements qui se lancent seuls.** Instructions ou scripts qui téléchargent un programme et le lancent aussitôt, surtout depuis des sources inconnues.
* **Connexions d’outils.** Serveurs MCP qui lancent la version la plus récente, gardent des clés en clair ou se connectent à des serveurs sans rapport.
* **Instructions qui prennent le contrôle.** Texte qui demande à votre assistant d’ignorer vos règles, de cacher ce qu’il fait ou de rester actif après la fin de la session.
* **Vos clés et vos fichiers.** Code qui lit des clés, des mots de passe ou des fichiers privés, puis les envoie ailleurs.
* **Paquets.** Vulnérabilités connues, noms conçus pour ressembler à des paquets populaires, et installations depuis des sources non officielles.

## Applications

Si le dépôt est une application plutôt qu’un élément à installer, la vérification regarde ce qu’elle fait à toute personne qui l’ouvre avec un assistant IA : ses réglages et hooks `.claude`, ses connexions MCP, `CLAUDE.md` et `AGENTS.md`, ainsi que les clés et paquets versionnés. Elle n’examine pas le code de l’application à la recherche de bugs. Si le dépôt indique son site en ligne, vous pouvez vérifier ce site ensuite.

Pas le résultat attendu ? Choisissez **La vérifier plutôt comme une application**, ou l’inverse, sous **De quoi il s’agit**.

## Surveiller un dépôt

Une fois connecté, choisissez **Surveiller ce dépôt**. Lockpick le revérifie lorsqu’il change, et ne vous prévient dans l’application que si une nouvelle version s’aggrave. Choisissez **Arrêter la surveillance** quand vous n’en avez plus besoin.

## Vos dépôts

Une fois connecté, chaque dépôt que vous vérifiez appartient à votre espace de travail. **Dépôts et skills** dans l’application les liste avec leur réponse et la date de vérification, pour ouvrir le résultat, choisir **Revérifier** ou le surveiller. Filtrez la liste par Skills, Plugins, Serveurs MCP ou Applications. Les vérifications sont conservées 30 jours, puis supprimées.

## Depuis votre assistant de code

Demandez à votre assistant de « vérifier ce dépôt avec Lockpick avant de l’installer ». Il utilise `lockpick_check_repository` et lit la réponse avec `lockpick_get_repository_check`. Depuis le terminal, exécutez `lockpicks check github.com/owner/repo`.