01 Qué aporta frente a pedir «revisa la seguridad»
Si le pides a cualquier modelo que revise la seguridad de tu código, sueles recibir una lista larga de consejos genéricos mezclados con algún problema real. La skill security-audit de Cloudflare impone un método para evitarlo: solo da por buena una vulnerabilidad si puede trazar el recorrido completo en el código, desde quién la explota hasta qué daño concreto provoca, y si un segundo agente que no ha visto el trabajo previo no consigue desmontarla.
Licencia MIT, sin coste más allá del uso de tu plan de Claude.
Quien encuentra no valida
Cada posible fallo pasa a un verificador nuevo cuyo único objetivo es demostrar que no existe.
Gravedad ligada al impacto
Si no se puede describir el daño concreto, la gravedad baja. Una buena práctica no aplicada no es una vulnerabilidad.
Cobertura medible
Un registro de cobertura indica qué partes se han revisado y cuáles no, validado por scripts sin IA.
Ejecuciones acumulativas
Cada nueva pasada lee las anteriores y se centra en lo que faltó. En las pruebas de Cloudflare, una sola pasada encontró alrededor de la mitad de lo que encontraron varias.
02 Instalación
Se instala con la CLI de skills (npx skills). Necesitas Node.js; si npx no existe en tu equipo, instala la versión LTS de Node antes de seguir. Antes de instalar, el asistente muestra un análisis de seguridad de la propia skill: léelo, porque una skill se ejecuta con los mismos permisos que Claude.
npx skills add https://github.com/cloudflare/security-audit-skill \
--skill security-audit -g -a claude-code-
1
Abre una sesión nueva
Las skills se cargan al inicio de la sesión. Si la tenías abierta, ciérrala y abre otra en la carpeta del proyecto.
-
2
Comprueba que aparece
Escribe / en el cuadro de mensaje y busca security-audit en la lista.
-
3
No la edites en su sitio
Si quieres adaptarla, copia la carpeta con otro nombre. Una actualización con npx skills update sobrescribiría tus cambios.
03 Dos modos: pregunta concreta o auditoría completa
| Modo | Cuándo se activa | Qué produce |
|---|---|---|
| Orientación | Preguntas puntuales sobre un archivo, una función o un tipo de ataque | Una respuesta en el chat, sin carpetas ni agentes en paralelo |
| Auditoría completa | Cuando pides auditar el código, un pentest de código o un informe | Seis fases con muchos subagentes y archivos de informe |
| Perfil | Para qué | Coste |
|---|---|---|
| quick | Proyectos pequeños o primera toma de contacto: una oleada de búsqueda y una revisión crítica | Bajo |
| standard | El flujo completo; es el perfil por defecto | Medio |
| deep | Proyectos grandes o críticos: divide por subsistemas y repite hasta una revisión limpia | Alto |
04 Prompts para cada situación
/security-audit Audita este repositorio con el perfil quick y un máximo de 25 agentes. Guarda el informe en la carpeta por defecto, fuera del proyecto. Cuando acabes, resúmeme en castellano y sin tecnicismos: cuántas vulnerabilidades confirmadas hay y su gravedad, qué ha quedado pendiente de comprobar y por qué, y qué arreglarías primero. No modifiques ningún archivo./security-audit Haz una auditoría limitada a la autenticación, la gestión de sesiones y los endpoints que devuelven datos de clientes (localízalos tú). Marca todo lo demás como fuera de alcance. Quiero saber, sobre todo, si un usuario puede ver o modificar datos de otro./security-audit Lanza una nueva auditoría de este repositorio. Lee antes los informes y el registro de cobertura de las ejecuciones anteriores, revalida lo que haya cambiado y céntrate en las zonas no cubiertas o aplazadas. Al final, dime qué has encontrado que la pasada anterior no detectó.Toma la vulnerabilidad confirmada más grave del último informe. Primero escribe un test que reproduzca el problema y enséñame que falla. Después aplica el cambio mínimo que propone el informe y demuéstrame que el test pasa. No toques nada más del código.05 Cómo leer el informe
Por defecto el informe se guarda fuera del repositorio, en ~/security-audit-skill/<repo>/run-N. Solo escribe dentro del proyecto si se lo indicas y esa carpeta está ignorada por git, para que nunca acabe publicado por accidente.
REPORT.md
El resumen ejecutivo: alcance, cobertura y hallazgos confirmados ordenados por gravedad.
FINDINGS-DETAIL.md
Cada hallazgo con su traza en el código, condiciones de explotación y corrección mínima propuesta.
NEEDS-VALIDATION.md
Sospechas fundadas que dependen de algo que no está en el código, como la configuración del servidor, con el dato exacto que falta.
| Veredicto | Significado |
|---|---|
| confirmed | Traza completa y resultado demostrado. Es el único que lleva gravedad (critical, high, medium, low o informational). |
| needs_validation | Falta un hecho concreto para confirmarlo. No tiene gravedad: te dice qué comprobar. |
| rejected | El verificador lo desmontó. Queda registrado para no repetir el análisis. |
06 Límites y reglas de seguridad
- ✓Nunca modifica tu código: describe la corrección y tú decides.
- ✓Solo ejecuta código del proyecto dentro de un sandbox aislado sin red; si no lo hay, deja la sospecha como pendiente de validar.
- ✓No ataca tu web en producción, ni servicios de terceros, ni datos reales.
- ✓La auditoría completa lanza muchos agentes y consume bastante cuota del plan.
- ✓Que no encuentre nada no significa que no haya nada: repite pasadas en proyectos importantes.
- ✓No sustituye a un pentest profesional si manejas pagos o datos sensibles a gran escala.
Preguntas frecuentes
Sí. Incluye catálogos de ataques para APIs, CLIs, apps móviles y de escritorio, infraestructura en la nube, cadenas de suministro, aplicaciones con LLM y código nativo, y solo carga los que aplican a tu proyecto.
Sí. En la pestaña Code, con una sesión local, pide a Claude que ejecute el comando de instalación por ti y aprueba el permiso de terminal.
No. La skill son instrucciones y scripts que se ejecutan en tu equipo dentro de Claude Code. Tu código se procesa como en cualquier otra sesión de Claude.
Pide a Claude que lea REPORT.md y te lo explique en castellano, hallazgo por hallazgo, con el cambio mínimo para cada uno.
Sobre el autor
Equipo editorial de appyweb
Marketing, SEO y desarrollo con IA
Especialistas de appyweb en SEO, publicidad, desarrollo web y automatización con IA.