security-audit

This skill guides you through performing comprehensive security audits on codebases to identify vulnerabilities, insecure patterns, and configuration issues. Use this when conducting security reviews, preparing for production deployments, or responding to security incidents.

Objective: Understand the application architecture, tech stack, and attack surface.

Best practice: Use crypto.timingSafeEqual() for comparing webhook signatures to prevent timing attacks:

Chargez de manière PROACTIVE lorsque la tâche implique un examen de la sécurité, une évaluation des vulnérabilités ou un renforcement. À utiliser lorsque l'utilisateur dit « vérifier les problèmes de sécurité », « auditer les vulnérabilités », « rechercher les secrets », « vérifier la sécurité d'authentification » ou « vérifier la conformité OWASP ». Couvre l'authentification et la sécurité des sessions, l'autorisation et le contrôle d'accès, la validation des entrées et la prévention des injections, la protection et le chiffrement des données, l'analyse des vulnérabilités des dépendances, la sécurité des API (CORS, limitation de débit, en-têtes) et le renforcement de l'infrastructure. Produit des rapports structurés avec des évaluations de gravité. Source : mgd34msu/goodvibes-plugin.