{"id": "auditoria-seguranca", "name": "Auditoria de segurança de projeto", "description": "Auditoria completa de segurança de projetos e automações, agnóstica de stack: mapeia o projeto, caça segredos (inclusive no histórico do git e no bundle), RLS e regras de banco abertas, IDOR, injeção, Server Actions sem auth, webhooks de pagamento e n8n expostos, riscos de IA/agentes e falhas de infra, e entrega relatório priorizado com evidência + baseline versionado com diff entre execuções. Use quando pedirem para auditar/revisar a segurança de um projeto, SaaS, app feito com IA ou vibe coding, checar RLS, IDOR, segredos vazados, webhooks expostos, revisar antes de lançar, preparar pentest ou conformidade LGPD.", "version": "1.1.0", "author": "arthurbonora", "license": "MIT", "category": "desenvolvimento", "tags": ["segurança", "auditoria", "RLS", "IDOR", "OWASP", "n8n", "LGPD", "vibe-coding", "supabase", "nextjs", "segredos", "llm"], "compatibility": ["agent-skills"], "dependencies": ["Agente com acesso de leitura ao código-fonte e ao histórico git do projeto auditado.", "Linha de comando: bash, git, python3 (3.9+) e curl; rg recomendado (grep como alternativa).", "Opcional: gitleaks e osv-scanner, que ampliam a cobertura de segredos e dependências.", "Opcional: psql com conexão somente leitura ao banco para verificar RLS, policies e storage.", "Opcional: conexão com o n8n (MCP ou API) ou export dos workflows para auditar automações.", "Opcional: URL publicada e autorização do dono para as checagens externas."], "permissions": ["Leitura dos arquivos e do histórico do repositório.", "Execução de comandos de leitura e de auditoria de dependências.", "Rede: requisições GET/HEAD/OPTIONS à URL do próprio projeto, apenas com autorização explícita do usuário.", "Escrita apenas dos arquivos de relatório e do baseline; alterações no código exigem aprovação explícita do usuário."], "changelog": "v1.1.0 — SKILL.md enxuto com divulgação progressiva: domínios movidos para references/ e carregados conforme a stack. Novos scripts testados: recon.sh (separa .env versionado de local, mascara credencial em remoto), secrets_scan.py (mascaramento na fonte, fingerprint, histórico, bundle, JWT decodificado para separar anon de service_role, regras para OpenAI sk-proj, Anthropic, Stripe, Supabase sb_secret, Asaas, Mercado Pago, Meta, gitleaks opcional), deps_audit.sh (osv-scanner ou ferramenta nativa por ecossistema, Actions sem pin, imagens sem digest), rls_check.sql (RLS, policies, grants, views sem security_invoker, SECURITY DEFINER sem search_path, buckets), surface_check.sh e supabase_anon_probe.sh (checagem externa só com autorização, sem imprimir dados). Novos domínios: IA/agentes e denial of wallet, pagamentos e lógica de negócio, superfície publicada, n8n no nível da instância, Next.js Server Actions/middleware, Firebase. Rubrica de severidade, mapeamento OWASP, IDs estáveis para diff entre execuções, campo 'como verificar que corrigiu', modo rápido vs completo, aviso de repositório público para relatório e baseline, contenção com comunicação à ANPD. evals/ com gerador de projeto vulnerável e achados esperados. Corrige: regex que não pegava sk-proj/sk-ant, histórico só com PRIVATE KEY, falso positivo com a anon key, npm audit || pip-audit.", "owner": "arthurbonora", "published_at": "2026-11-03T18:43:36.859586+00:00", "sha256": "80b2d21d4c6d16e3934a0eddfd0b858c94d0b3c43f59d7e02de48651810e1d29", "size": 106236, "archive": "download.zip", "entrypoint": "auditoria-seguranca/SKILL.md", "format": "agent-skills", "fork": null}