security-audit

This skill guides you through performing comprehensive security audits on codebases to identify vulnerabilities, insecure patterns, and configuration issues. Use this when conducting security reviews, preparing for production deployments, or responding to security incidents.

Objective: Understand the application architecture, tech stack, and attack surface.

Best practice: Use crypto.timingSafeEqual() for comparing webhook signatures to prevent timing attacks:

Cargue PROACTIVAMENTE cuando la tarea implique revisión de seguridad, evaluación de vulnerabilidades o refuerzo. Úselo cuando el usuario diga "verificar problemas de seguridad", "auditar vulnerabilidades", "buscar secretos", "revisar seguridad de autenticación" o "verificar cumplimiento de OWASP". Cubre autenticación y seguridad de sesión, autorización y control de acceso, validación de entradas y prevención de inyección, protección y cifrado de datos, escaneo de vulnerabilidades de dependencia, seguridad API (CORS, limitación de velocidad, encabezados) y refuerzo de infraestructura. Produce informes estructurados con clasificaciones de gravedad. Fuente: mgd34msu/goodvibes-plugin.