control "Guards" {
  description = "Trained guards patrol tower"
  risk_reduction = 75
}

Voir [Diagramme de flux de données](#data-flow-diagram) pour plus d'informations sur la façon de construire des diagrammes de flux de données qui peuvent être convertis automatiquement en PNG.

Pour voir un exemple de la façon de référencer des bibliothèques de contrôles prédéfinies pour [OWASP Proactive Controls](https://owasp.org/www-project-proactive-controls/) et [AWS Security Checklist](https://d1.awsstatic.com/whitepapers/Security/AWS_Security_Checklist.pdf), consultez [examples/tm3.hcl](https://github.com/threatcl/threatcl/blob/HEAD/examples/tm3.hcl). Nous avons également les [contrôles MITRE ATT&CK](https://attack.mitre.org/mitigations/enterprise/) [ici](https://github.com/threatcl/threatcl/blob/HEAD/examples/MITRE_ATTACK_controls.hcl).

Vous pouvez également inclure un modèle de menace externe dans le vôtre, pour référencer et utiliser toutes ses informations. Vous pouvez voir [examples/including-example/corp-app.hcl](https://github.com/threatcl/threatcl/blob/HEAD/examples/including-example/corp-app.hcl) comme exemple.

Pour voir une description complète de la spécification, voir [ici](https://github.com/threatcl/threatcl/blob/HEAD/spec.hcl) ou exécutez :```bash
threatcl generate boilerplate

## Exécuter avec Docker```bash
docker run --rm -it ghcr.io/threatcl/threatcl:latest

Vérifiez l'image du conteneur (le tag est résolu automatiquement en son digest) :```bash
gh attestation verify oci://ghcr.io/threatcl/threatcl:<version> --repo threatcl/threatcl

Voir [docs/SLSA.md](https://github.com/threatcl/threatcl/blob/HEAD/docs/SLSA.md) pour l'ensemble de la posture de la chaîne d'approvisionnement.

## Exécution avec GitHub Actions

`threatcl` peut être intégré directement dans vos dépôts GitHub avec https://github.com/threatcl/threatcl-action. C'est l'une des méthodes idéales pour gérer vos modèles de menace et aide à atteindre l'objectif d'intégration dans vos systèmes de contrôle de version.

## Compilation à partir des sources

1. Clonez ce dépôt.
2. Placez-vous dans le répertoire `threatcl`
3. `make bootstrap`
4. `make build`

Pour plus d'aide sur la contribution à `threatcl`, veuillez consulter le [CHANGELOG.md](https://github.com/threatcl/threatcl/blob/HEAD/CHANGELOG.md).

## Utilisation

Pour obtenir de l'aide sur les sous-commandes, utilisez l'option `-h`.```bash
$ threatcl
Usage: threatcl [--version] [--help] <command> [<args>]

Available commands are:
    cloud        Interact with ThreatCL Cloud services
    dashboard    Generate markdown files from existing HCL threatmodel file(s)
    dfd          Generate Data Flow Diagram PNG or DOT files from existing HCL threatmodel file(s)
    export       Export threat models into other formats
    generate     Generate an HCL Threat Model
    list         List Threatmodels found in HCL file(s)
    mcp          Model Context Protocol (MCP) server for threatcl
    mermaid      Output raw mermaid source from 'mermaid' blocks in existing HCL threatmodel file(s)
    query        Execute GraphQL queries against threat model data
    server       Start a GraphQL API server for threat models
    terraform    Parse output from 'terraform show -json'
    validate     Validate existing HCL Threatmodel file(s)
    view         View existing HCL Threatmodel file(s)

Si vous modifiez ces attributs, vous devrez penser à fournir le fichier de configuration pour les autres opérations, car cela peut impacter la validation ou la création du tableau de bord.

## Commandes Cloud

Consultez https://threatcl.dev/cloud/overview/ pour en savoir plus sur les sous-commandes `cloud`.

## Lister et Voir

Les commandes `threatcl list` et `threatcl view` peuvent être utilisées pour lister et visualiser les données à partir des fichiers HCL de la spécification `threatcl`.```bash
$ threatcl list examples/*
#  File              Threatmodel      Author
1  examples/tm1.hcl  Tower of London  @xntrik
2  examples/tm1.hcl  Fort Knox        @xntrik
3  examples/tm2.hcl  Modelly model    @xntrik

### Invariants

`threatcl validate` peut également appliquer des invariants à l'échelle de l'organisation — des règles vérifiables par machine comme "aucun point de terminaison public ne devrait être non authentifié" ou "toutes les fonctionnalités exposées sur Internet doivent documenter la journalisation d'audit" — contre chaque modèle de menace validé :```bash
$ threatcl validate -invariants=invariants.hcl ./models/
Validated 4 threatmodels in 3 files
Invariant violation [error] 'threats_have_implemented_controls': threat 'Credential theft' in threatmodel 'Payments' (models/payments.hcl): Every threat must have at least one implemented control
Checked 3 invariants against 4 threatmodels: 1 errors, 0 warnings, 1 exemptions

## Generate

La commande `threatcl generate` est utilisée soit pour générer un fichier HCL de spécification `threatcl` générique `boilerplate`, soit pour poser des questions à l'utilisateur de manière interactive puis générer un fichier HCL de spécification `threatcl`.

### Generate Interactive

Voir l'exemple suivant de :```bash
threatcl generate interactive

Cela ouvrira votre éditeur avec un modèle de menace HCL minimal. Si vous souhaitez valider le modèle après sa création, utilisez le drapeau `-validate`.

## MCP

La commande `threatcl mcp` expose un serveur [MCP](https://modelcontextprotocol.io/introduction) local afin que vous puissiez interagir avec les fichiers threatcl hcl via un hôte MCP, par exemple des applications IA/LLM telles que [Claude Desktop](https://claude.ai/download), [Cursor](https://www.cursor.com/), ou toute autre application prenant en charge MCP.

La commande prend un seul argument optionnel, `-dir=<path>`, qui permet à des outils MCP supplémentaires d'interagir avec les fichiers situés dans ce chemin. Sans ce paramètre, les outils MCP peuvent interagir avec des chaînes de caractères, mais dépendront d'autres mécanismes au sein de l'hôte MCP pour interagir avec le système de fichiers sous-jacent.

On peut dire que cette fonctionnalité est encore assez bêta pour le moment.

## LSP (Language Server)

La commande `threatcl lsp` exécute un serveur [Language Server Protocol](https://microsoft.github.io/language-server-protocol/) sur stdio, offrant aux éditeurs compatibles LSP des diagnostics en direct, de l'autocomplétion, des infobulles, des symboles de document et un formatage pour les modèles de menace HCL threatcl.

Il est lancé par le client LSP de votre éditeur plutôt que d'être exécuté manuellement. Comme les fichiers threatcl partagent l'extension `.hcl` avec Terraform et d'autres dialectes HCL, le filtrage sur `*.tm.hcl` (ou la limitation du client à votre espace de travail de modèles de menace) évite les conflits avec un serveur de langage Terraform.

Consultez [docs/lsp.md](https://github.com/threatcl/threatcl/blob/HEAD/docs/lsp.md) pour la configuration des éditeurs (Neovim, Helix, VS Code, Zed) et les limitations actuelles.

## Server (GraphQL API)

La commande `threatcl server` démarre un serveur d'API GraphQL qui expose vos modèles de menace via HTTP pour des requêtes programmatiques et l'intégration.

### Basic Usage```bash
# Start the server
$ threatcl server -dir ./examples

# With file watching for auto-reload
$ threatcl server -dir ./examples -watch

# Custom port
$ threatcl server -dir ./examples -port 3000

### Documentation

Pour une documentation complète de l'API, une référence de schéma, des requêtes avancées et des exemples d'intégration, consultez :
- **Documentation complète de l'API** : [docs/graphql-api.md](https://github.com/threatcl/threatcl/blob/HEAD/docs/graphql-api.md)
- **Exemples de requêtes** : [examples/graphql-queries.md](https://github.com/threatcl/threatcl/blob/HEAD/examples/graphql-queries.md)

## Requête (GraphQL CLI)

La commande `threatcl query` exécute des requêtes GraphQL directement depuis la ligne de commande sans démarrer de serveur. C'est idéal pour l'automatisation, les pipelines CI/CD et les scripts shell.

### Utilisation de base```bash
# Get statistics
$ threatcl query -dir ./examples -query '{ stats { totalThreats } }'

# Query from file
$ threatcl query -dir ./examples -file queries/get-stats.graphql

# Use in scripts
$ THREATS=$(threatcl query -dir ./examples \
    -query '{ stats { totalThreats } }' \
    -output compact | jq -r '.data.stats.totalThreats')
$ echo "Found $THREATS threats"

### Exemple CI/CD```bash
#!/bin/bash
# Check if all controls are implemented before deployment

UNIMPLEMENTED=$(threatcl query -dir ./threatmodels \
  -query '{ stats { totalControls implementedControls } }' \
  -output compact | jq -r '.data.stats.totalControls - .data.stats.implementedControls')

if [ "$UNIMPLEMENTED" -gt 0 ]; then
  echo "ERROR: $UNIMPLEMENTED controls are not yet implemented"
  exit 1
fi

echo "All controls implemented, proceeding with deployment"

### Modèles Markdown personnalisés

La commande `threatcl dashboard` peut également accepter des flags facultatifs pour spécifier des modèles personnalisés (conformément au [text/template](https://pkg.go.dev/text/template) de Golang).

Pour spécifier un fichier de modèle de tableau de bord, utilisez le flag `-dashboard-template`. Pour un exemple, consultez [dashboard-template.tpl](https://github.com/threatcl/threatcl/blob/HEAD/examples/dashboard-template.tpl).

Pour spécifier un fichier de modèle de threatmodel, utilisez le flag `-threatmodel-template`. Pour un exemple, consultez [threatmodel-template.tpl](https://github.com/threatcl/threatcl/blob/HEAD/examples/threatmodel-template.tpl).

### Nom de fichier personnalisé pour le fichier d'index du tableau de bord

La commande `threatcl dashboard` peut également accepter un flag facultatif pour spécifier un nom de fichier pour le fichier de tableau de bord généré « index ». Par défaut, ce fichier est `dashboard.md`. Utilisez le flag `-dashboard-filename` sans extension pour modifier ce nom de fichier.

## Diagramme de flux de données

Conformément à la [spec](https://github.com/threatcl/threatcl/blob/HEAD/spec.hcl), un `threatmodel` peut inclure des blocs `data_flow_diagram_v2`. Un exemple de DFD simple est disponible [ici](https://github.com/threatcl/threatcl/blob/HEAD/examples/tm2.hcl). L'ancien bloc à usage unique `data_flow_diagram` sera déprécié à un moment donné, il est donc préférable d'utiliser les blocs nommés `data_flow_diagram_v2`, ce qui permet d'avoir plusieurs DFD associés.

La commande `threatcl dfd` prend les fichiers HCL de spec `threatcl`, génère un certain nombre de fichiers png et les place dans un dossier sélectionné.

Si le fichier HCL n'inclut pas un bloc `threatmodel` avec un bloc `data_flow_diagram` ou `data_flow_diagram_v2`, rien n'est produit.

La commande elle-même est très similaire à la commande Dashboard.```bash
$ threatcl dfd -overwrite -outdir testout examples/*
Successfully created 'testout/tm2-modellymodel.png'

Cela permet de le diriger facilement vers un moteur de rendu tel que [mermaid-cli](https://github.com/mermaid-js/mermaid-cli) :```bash
$ threatcl mermaid model.hcl | mmdc -o diagram.svg -i -

## Terraform

La commande `threatcl terraform` peut extraire des ressources de données de la sortie `terraform show -json` [documentation ici](https://www.terraform.io/docs/cli/commands/show.html) des fichiers de plan, ou des fichiers d'état actif, et les convertir en blocs `information_asset` ébauchés pour inclusion dans les fichiers `threatcl`.

Si vous êtes dans un dossier avec un état existant, vous pouvez exécuter la commande suivante :```bash
terraform show -json | threatcl terraform -stdin

Vous pouvez également voir une sortie similaire d'un fichier de plan qui n'a pas encore été appliqué avec Terraform en exécutant :```bash
terraform show -json <plan-file> | threatcl terraform -stdin

Avec le flag `-add-to-existing`, vous pouvez également spécifier `-tm-name=<string>` si vous avez besoin de spécifier un modèle de menace particulier du fichier source, s'il y en a plusieurs. Et vous pouvez également appliquer une classification par défaut, avec le flag `-default-classification=Confidential`.

Ces commandes peuvent également prendre un fichier en entrée, auquel cas, omettez le flag `-stdin`.

Les ressources terraform dont `threatcl` a connaissance sont codées en dur dans [pkg/terraform/terraform.go](https://github.com/threatcl/threatcl/blob/HEAD/pkg/terraform/terraform.go). Si vous souhaitez que la commande `threatcl terraform` produise d'autres ressources `information_asset` qui ne s'y trouvent pas, vous pouvez fournir votre propre version de ce json via le flag `-tf-collection=<json file>`.